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Ein kleiner Schritt für Deutschland ... 


... ein großer Schritt für Europa — so lautet der durchaus ernst gemeinte Vergleich 
der Datenschutzgrundverordnung mit der berühmten ersten Mondlandung. Den 
Vergleich zog der Europäische Datenschutzbeauftragte Peter Hustinx am 26. 
Januar auf einer Veranstaltung der Europäischen Akademie für Informationsfreiheit 
und Datenschutz in Berlin. Die am Vortag veröffentlichten Vorschläge der EU- 
Kommission für die Neugestaltung des europäischen Datenschutz-Rechtsrahmens 
wollen den Datenschutz europaweit einheitlich, verbindlich, effektiv und zukunfts- 
sicher neu regeln. Für Deutschland ist das meiste bekannt, für andere europäische 
Länder ein Quantensprung. Das Paket ist mit einer Mitteilung, einer verbindlichen 
Verordnung und einer Rahmenrichtlinie für den Datenschutz in der polizeilichen und 
Justiziellen Zusammenarbeit umfangreich und juristisch keine leichte Kost. Deshalb 
fällt es leicht, zwar berechtigter Weise einen fehlenden Rechtsschutz vor einem 
Europäischen Verfassungsgericht zu kritisieren, aber trotzdem völlig falsch zu lie- 
gen: dieser strukturelle Mangel gilt für die gesamte europäische Gesetzgebung seit 
dem Vertrag von Lissabon. 

Entgegen den Prophezeiungen „gut unterrichteter Kreise“ hat sich die zuständige 
Kommissarin offensichtlich nicht nur terminlich, sondern auch inhaltlich als stark und 
entschlossen erwiesen. Vorausgegangen ist eine einjährige öffentliche Konsultation 
mit hunderten Stellungnahmen, auch der DVD. Die Lobbyarbeit geht nun in die 
nächste Runde. Das Parlament wird genauso wie beim ACTA-Vertrag zwischen 
wirtschaftlichen und bürgerrechtlichen Argumenten abwägen wollen. Die DVD wird 
gemeinsam mit anderen Datenschutz- und Bürgerrechtsorganisationen den Druck 
erhöhen, um im Europaparlament die deutlichen bürgerrechtlichen Fortschritte, die 
im Kommissionsentwurf liegen, so engagiert zu verteidigen, wie den Finger in die 
weiterhin offenen Wunden zu legen. 

Aber bei aller berechtigten Kritik: die Mondlandung ist gelungen — auf dem Weg 
zurück zur Erde sollten alle auf riskante Flug- und Bremsmanöver verzichten. 
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Die neue Datenschutz-Grundverordnung — 
Überblick und Problemaufriss 


Am 25. Januar 2012 hat die EU- 
Justizkommissarıin Viviane Reding 
die Entwürfe zu einer Verordnung 
zum Schutz natürlicher Personen bei 
der Verarbeitung personenbezogener 
Daten und zum freien Datenverkehr 
(Datenschutz-Grundverordnung, DS- 
GVO)! sowie zu einer Richtlinie zum 
Schutz natürlicher Personen bei der 
Verarbeitung personenbezogener Daten 
durch die zuständigen Behörden zum 
Zwecke der Verhütung, Aufdeckung, 
Untersuchung oder Verfolgung von 
Straftaten oder der Strafvollstreckung 
sowie zum freien Datenverkehr? in 
Brüssel vorgestellt. Die DS-GVO soll 
an die Stelle der Datenschutz-Richtlinie 
95/46/EG treten, die von den 27 Mit- 
gliedstaaten teils sehr unterschiedlich 
umgesetzt wurde. 

Bereits im Dezember 2011 kursier- 
ten die ersten geleakten Entwürfe der 
DS-GVO und heizten die Diskussion 
an. Einen ersten Höhepunkt erreich- 
te sie, als die Süddeutsche Zeitung ei- 
nen Beitrag des Richters am Bundes- 
verfassungsgericht Johannes Masing 
mit dem Titel „Ein Abschied von den 
Grundrechten‘ veröffentlichte.* 

Hier sollen zunächst ein Überblick und 
erste Bewertung der DS-GVO erfolgen. 
Anschließendbeschäftigtsich der Artikel 
mit der Frage, ob die Regelung und 
Harmonisierung des Datenschutzrechtes 
durch eine Verordnung oder besser wei- 
terhin durch eine Richtlinie erfolgen 
sollte. 


Was für Regelungen sind in der 
DS-GVO vorgesehen? Was ist 
neu? 


Eine DS-GVO würde, anders als eine 
Richtlinie, unmittelbare Anwendung fin- 
den und das Recht der Mitgliedstaaten 
in ihrem Anwendungsbereich verdrän- 
gen. In Deutschland betrifft dies das 
Bundesdatenschutzgesetz (BDSG) und 


bereichsspezifisches Datenschutzrecht. 
Aber zunächst zu den Regelungen im 
Einzelnen. 

e Der räumliche Anwendungsbereich 
(Art. 3) des europäischen Datenschutz- 
rechts wird ausgeweitet. Die DS-GVO 
findet nicht nur auf Unternehmen 
Anwendung, die ihre Niederlassung 
in einem der Mitgliedstaaten ha- 
ben. Sie richtet sich auch an solche 
Unternehmen, die ihren Sitz außer- 
halb der Europäischen Union haben, 
sich mit ihren Diensten aber an Nutzer 
und Verbraucher in der Europäischen 
Union wenden. Diskussionen über die 
Anwendbarkeit nationalen Rechts, wie 
sie derzeit mit beziehungsweise gegen 
facebook geführt werden, würden da- 
durch beendet. 

e Die Rechte der Bürger werden ge- 
stärkt. Beispielsweise wird das Prinzip 
des Einwilligungserfordernisses ge- 
stärkt. Art. 7 enthält hier insoweit 
verheißungsvolle Ansätze, als nun 
ausdrücklich geregelt wird, dass die Ein- 
willigung keine Rechtsgrundlage für die 
Verarbeitung personenbezogener Daten 
bieten kann, wenn zwischen der Position 
der betroffenen Person und des für die 
Verarbeitung Verantwortlichen ein er- 
hebliches Ungleichgewicht besteht. 
Dies dürfte positive Auswirkungen auf 
die beim Beschäftigtendatenschutz ge- 
führte Debatte haben, ob eine freiwillige 
Zustimmung zu der Verarbeitung perso- 
nenbezogener Daten hier nicht denklo- 
gisch ausgeschlossen ist. Vorgesehen ist 
weiterein „rightto be forgotten“ (Art. 17). 
Während derzeit gilt „Das Internet ver- 
gisst nichts“, soll der Nutzer in Zukunft 
die Möglichkeit haben, eine Zustimmung 
zurückziehen zu können und ein Recht 
auf Löschung haben. Nicht zuletzt soll 
es ein Recht auf Datenportabiliät (Art. 
18) geben, das heißt, der Nutzer soll bei 
einem Anbieterwechsel seine Daten mit- 
nehmen können. Dies sind innovative 
Vorschläge der Kommission, die zu ei- 


nem Mehr an Verbraucherschutz führen 
würden. 

e Die Prinzipien privacy by design/pri- 
vacy by default (Art. 23) sollen gesetz- 
lich verankert werden. Danach müssen 
alle Produkte und Dienstleistungen bei 
Auslieferung beziehungsweise bei der 
ersten Inanspruchnahme datenschutz- 
freundlich voreingestellt sein. Rege- 
lungsziel ist, dass nur so viele Daten 
erfasst, verarbeitet und gespeichert wer- 
den, wie für die Nutzung tatsächlich er- 
forderlich ist. 

e Die Verordnung soll nicht nur zu 
mehr Rechtssicherheit für die für Verar- 
beitung Verantwortliche, insbesondere 
Unternehmen, führen. Es sind auch mehr 
Sorgfaltspflichten (Art. 31, 79) vorgese- 
hen. So sind sie bei einer Verletzung des 
Schutzes personenbezogener Daten dazu 
verpflichtet, die Aufsichtsbehörde unver- 
züglich zu benachrichtigen. Auch die be- 
troffene Person muss benachrichtigt wer- 
den, wenn die Gefahr besteht, dass ihre 
Privatsphäre beeinträchtigt wird. Weiter 
werden die Sanktionsmöglichkeiten 
gegen Unternehmen verschärft. Die 
Aufsichtsbehörde kann eine Geldbuße 
bis zu 1.000.000 EUR respektive zwei 
Prozent des weltweiten Jahresumsatzes 
eines Unternehmens verhängen.* 

Dem Bundesbeauftragten für Daten- 
schutz, Peter Schaar, ist beizupflichten: 
es istein Entwurf mit Licht und Schatten. 
Neben deutlichen Verbesserungen ge- 
genüber der derzeitigen Rechtslage gibt 
es Punkte, die noch nachgebessert wer- 
den müssen. 


Welche Punkte sind problema- 
tisch? 


e Ein betrieblicher Datenschutzbeauf- 
tragter soll erst ab einer fixen Betriebs- 
größe von 250 Mitarbeitern zu bestellen 
sein (Art. 35). ImBDSG istdie Bestellung 
eines Datenschutzbeauftragten schon 
dann vorgesehen, wenn in privaten 
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Unternehmen mindestens neun Personen 
ständig mit der Verarbeitung personen- 
bezogener Daten betraut sind. Es liegt 
auf der Hand, dass das Risikopotential 
für die Verletzung des Schutzes perso- 
nenbezogener Daten nicht von der Größe 
der verantwortlichen Stelle abhängt. 
Diese Regelung lädt jedoch zur Flucht 
ins Outsourcing und in die Gründung 
kleiner Subunternehmen ein. 

e Verändert werden soll auch die 
Struktur von und die Zusammenarbeit 
der nationalen Datenschutzbehörden 
(Art. 46 ff.). Für Organisationen und 
Unternehmen soll eine einzige, von 
den Mitgliedstaaten festzulegende Auf- 
sichtsbehörde Ansprechpartnerin sein. 
EU-Bürger sollen sich künftig auch an 
die Datenschutzbehörde ihres Landes 
wenden können, wenn ihre Daten von ei- 
nem außerhalb der EU niedergelassenen 
Unternehmen verarbeitet werden. Die 
Aufsichtsbehörden sollen verwaltungs- 
rechtliche Sanktionen verhängen können, 
wobei sich die Höhe der Geldbuße nach 
Art, Schwere und Dauer des Vorstoßes 
sowie der Frage nach Vorsatz oder 
Fahrlässigkeit bemisst. Die letztinstanz- 
liche Aufsicht liegt bei der Europäischen 
Kommission. Das ist nicht unproble- 
matisch. Denn auf der einen Seite soll 
die Unabhängigkeit der nationalen 
Datenschutzbehörden gestärkt werden, 
auf der anderen Seite bestehen weitge- 
hende Befugnisse der Kommission zur 
Kontrolle. Die Kommission erhebt sich 
also selbst zur letzten unabhängigen 
Instanz in der Datenschutzaufsicht. 

e In dem Entwurf finden sich zahlrei- 
che Ermächtigungsgrundlagen für de- 
legierte Rechtsakte der Kommission. 
Beispielsweise wird in Art. 23 Abs. 2 das 
Prinzip privacy by design/by default in 
der Verordnung verankert, im nächsten 
Absatz die genaue Ausgestaltung aber 
der Kommission vorbehalten, ohne dass 
ihre konkrete Rechtsform oder der ge- 
naue Inhalt vorher feststehen. 

e Kinder und Jugendliche sollen besser 
geschützt werden. Aus diesem Grund ist 
gemäß Art. 8 für die Verarbeitung per- 
sonenbezogener Daten eines Kindes bis 
zum vollendeten dreizehnten Lebensjahr 
die Einwilligung der Eltern erforderlich. 
Die Zielsetzung ist natürlich zu begrü- 
ßen. Fraglich ist nur, ob die Vollendung 
des dreizehnten Lebensjahres als Grenze 
nicht zu niedrig gesetzt ist und wie das 
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Alter im Internet wirksam verifiziert 
werden soll. Im Zweifel werden weitere 
Daten erhoben werden müssen, um das 
Alter des Nutzers verlässlich feststellen 
zu können. 

e Die in den letzten zwei Jahren in- 
tensiv geführte Debatte um den Be- 
schäftigtendatenschutz erhält durch die 
Verordnung, abgesehen von der Frage 
der Einwilligung, leider keine neue 
Orientierung. In Art. 82 heißt es lediglich, 
dass die Regelungen zu diesem Punkt 
den Mitgliedstaaten überlassen bleiben, 
diese sich aber in den Grenzen dieser 
Verordnung bewegen müssen. Auch hier 
ist wieder viel Spielraum, wo sich die 
Mitgliedsstaaten, die Unternehmen und 
vor allem die Beschäftigten selbst mehr 
Klarheit und deutlichere Vorgaben ge- 
wünscht hätten. 


Rechtschutz? 


Eine europäische Harmonisierung des 
Datenschutzrechts ist wichtig und sinn- 
voll. Sowohl die einzelnen Regelungen 
als auch die Wahl der Rechtsform sind 
aber insbesondere bei einem so dynami- 
schen Bereich wie dem Datenschutz mit 
all ihren Konsequenzen zu durchdenken. 
Die Entscheidung für eine Verordnung 
könnte Auswirkungen auf die Recht- 
sprechung des Bundesverfassungs- 
gerichts (BVerfG) zu dem Verhältnis 
Gemeinschaftsrecchtt und nationales 
Recht haben. Das BVerfG geht seit der 
Solange-II-Entscheidung? von einem so- 
genannten Kooperationsverhältnis aus, 
d.h. es übt seine Prüfungskompetenz so- 
lange nicht aus, wie es generell auf eu- 
ropäischer Ebene einen gleichwertigen 
Grundrechtsschutz als gewährleistet an- 
sieht. Dies wurde durch den Bananen- 
markt-Beschluss®° noch bekräftigt. 
Danach sind Verfassungsbeschwerden 
und Vorlagen von Gerichten, die eine 
Verletzung von Grundrechten durch se- 
kundäres Gemeinschaftsrecht geltend 
machen, von vornherein unzulässig, 
wenn nicht begründet wird, dass der eu- 
ropäische Grundrechtsschutz unter den 
erforderlichen Standard gesunken ist. Es 
muss also detailliert dargelegt werden, 
dass der Grundrechtsschutz auf europä- 
ischer Ebene generell nicht mehr gewähr- 
leistet wird, was seit Verankerung der eu- 
ropäischen Grundrechtecharta nicht so 
schnell erfüllt sein dürfte. 


Wird eine datenschutzrechtliche Ent- 
scheidung durch eine nationale Behörde 
getroffen, so gilt zunächst auch weiterhin 
das innerstaatliche Rechtsschutzsystem. 
Gelangen dann deutsche Fachgerichte bei 
der Überprüfung nationaler Umsetzungs- 
oder Durchführungsmaßnahmen zu der 
Überzeugung, dass der unabdingba- 
re Standard des Grundgesetzes verletzt 
wurde oder die Union ihre Kompetenzen 
überschritten hat, kann und muss das 
Gericht gem. Art. 267 AEUV die- 
se Frage dem EuGH vorlegen und 
diesem Gelegenheit geben, über die 
Gültigkeit des Unionsrechts zu entschei- 
den. Kommt das Fachgericht dem nicht 
nach, stellt dies einen Verstoß gegen 
das Recht auf den gesetzlichen Richter 
gemäß Art. 101 Abs. 1 S. 2 GG dar, 
was — unter zugegebenermaßen hohen 
Hürden — eine Verfassungsbeschwerde 
vor dem BVerfG begründen kann. Legt 
das Fachgericht vor, prüft der EuGH die 
vorgelegte Frage unter Berücksichtigung 
der Rechtsauffassung des vorlegenden 
Gerichts und gibt die Antwort zurück. Das 
vorlegende Gericht ist an die Auslegung 
des EuGH gebunden und muss unter die- 
sem Gesichtspunkt entscheiden. Hat es 
Zweifel an der Entscheidung des EuGH, 
kann es den Fall unter Darlegung seiner 
Auffassung erneut vorlegen. 


Verschlechtert sich also der 
Rechtsschutz durch eine 
Verordnung? 


Entscheiden sich die Mitgliedstaaten 
für eine Verordnung, ist für deren 
Auslegung nicht primär das Bundes- 
verfassungsgericht, sondern der Euro- 
päische Gerichtshof zuständig. Das 
BVerfG hat eine herausragende Rolle 
bei der Entwicklung des Datenschutz- 
rechtes in Deutschland inne. Aber auch 
der EuGH hat sich bereits mehrfach 
mit dem Datenschutz auseinander- 
gesetzt und diesem ebenfalls eine gro- 
Be Bedeutung beigemessen. Hier sei 
beispielsweise das Urteil zur Veröffent- 
lichung von Empfängern von Agrar- 
subventionen genannt.” Zugegeben sei 
an dieser Stelle, dass der EuGH, an- 
ders als das BverfG, immer auch den 
Binnenmarkt im Auge haben wird. 
Entscheidungen wie die vorgenann- 
te zeigen aber, dass ein Ausgleich zwi- 
schen den Interessen möglich und ge- 


wollt ist, ohne dass der Datenschutz 
darunter leidet. 

Knackpunktbei der Diskussion scheint 
das Urteil des EuGH vom 24. November 
2011? zu sein, in dem es um die Frage 
der Vereinbarkeit spanischen Rechts 
mit der Datenschutzrichtlinie von 1995 
ging. Hier hat der EuGH entschieden, 
dass die Harmonisierung der nationalen 
Rechtsvorschriften durch die Richtlinie 
nicht auf eine Mindestharmonisierung 
beschränkt ist, über deren Schutzniveau 
die Mitgliedstaaten hinausgehen kön- 
nen, sondern vielmehr eine Vollharmo- 
nisierung darstellt. Aus diesem Grund 
würde sich das BVerfG sowohl bei ei- 
ner umfassenden Richtlinie mit wenig 
Umsetzungsspielraum als auch bei ei- 
ner Verordnung vor das Problem ge- 
stellt sehen, ob es an seiner Solange II- 
Rechtsprechung festhält. 

Macht das Bundesverfassungsgericht 
derzeit von seiner Überprüfungskom- 
petenz keinen Gebrauch, solange ein 
ausreichender Grundrechtsschutz auf 
europäischer Ebene gewährleistet wird, 
kann sich dies bei einem so grundrechts- 
und eingriffsrelevanten Bereich wie dem 
Datenschutz anders darstellen. Ist das 
Bundesverfassungsgericht der Ansicht, 
dass hier Grundrechtsstandards unter- 
wandert würden, und die Anwendung der 
Unionsvorschriften in Deutschland ver- 
fassungswidrig wäre, müsste es zu dem 
Ergebnis kommen, dass europäisches 
Recht in diesem Fall in Deutschland 
nicht anwendbar ist. 

Das BVerfG hat jedoch bereits aner- 
kannt, dass generell einer ausreichen- 
der Grundrechtsschutz auf europäischer 
Ebene gewährleistet wird. Die europä- 
ische Grundrechtecharta wurde mit der 
Verankerung der Menschenwürde und 
des Grundrechts auf Datenschutz ins- 
besondere aus Deutschland geprägt. 
BesondersgrundrechtssensibleBereiche 
wie der Beschäftigtendatenschutz oder 
der Umgang mit Gesundheitsdaten sind 
zudem von der DS-GVO ausgenom- 
men. Die Regelung dieser Bereiche 
wird explizit den Mitgliedsstaaten 
überlassen. In diesen grundrechtsinten- 
siven Bereichen würde es also nicht zu 
einer Veränderung des innerstaatlichen 
Rechtschutzes kommen. Die nationalen 
Gerichte, und damit auch das BVerfG, 
blieben zuständig. 


Fazit 


Die Frage ist nicht mehr, ob wir die 
europäische Harmonisierung brau- 
chen oder nicht, sondern auf welchem 
Niveau die Harmonisierung in Zukunft 
stattfindet. Ob die Harmonisierung 
durch eine Verordnung oder durch eine 
Richtlinie erfolgt, sollte weniger ab- 
strakt beurteilt, sondern von den kon- 
kreten Inhalten abhängig gemacht wer- 
den. Eine Verordnung kann genauso 
noch Spielraum für die Mitgliedstaaten 
lassen, wie eine Richtlinie so detaillierte 
Vorgabenmachenkann, dassdefactokein 
Umsetzungsspielraum mehr bleibt. Die 
Richtlinie von 1995 hält für neue tech- 
nische Entwicklungen keine überzeu- 
genden Antworten mehr bereit. Zudem 
führen die unterschiedlichen nationa- 
len Regelungen zu Rechtsunsicherheit 
sowohl bei Unternehmen als auch 
bei Verbrauchern. Eine in allen 
Mitgliedstaaten unmittelbar wirken- 
de DS-GVO könnte nicht nur zu mehr 
Rechtssicherheit, sondern auch zu ei- 
ner Stärkung des Binnenmarkt-Prinzips 
führen, indem sich Unternehmen nicht 
mehr in dem Mitgliedsstaat niederlas- 
sen, wo das für sie vermeintlich günstig- 
ste Datenschutz-Recht gilt. Viele der ge- 
nannten Regelungen stellen bereits ein 
Plus an Daten- und Verbraucherschutz 
dar. Dies gilt sowohl für die Frage der 
räumlichen Anwendbarkeit, des Prinzips 
privacy by defaultals auch des Rechts auf 


Datenportabilität. Nachgebessert werden 
kann und sollte immer, insbesondere bei 
den Punkten Bestellung eines betriebli- 
chen Datenschutzbeauftragten, den de- 
legierten Rechtsakten und der Struktur 
der Datenschutzaufsicht. Der Streit um 
die Rolle des BVerfG bei einer Richtlinie 
mit sehr geringem Umsetzungsspielraum 
für die Mitgliedstaaten nach dem EuGH- 
Urteil vom 24. November 2011? oder bei 
einer Verordnung ist dabei eher akade- 
mischer Natur. 
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Werner Hülsmann 


Der betriebliche und behördliche 
Datenschutzbeauftragte im Entwurf der 


EU-Datenschutz-Grundverordnung 


Im Entwurf der Datenschutz-Grund- 
verordnung (DS-GVO-E) ist der Ab- 
schnitt 4 mit den Artikel 35 bis 37 dem 
betrieblichen bzw. behördlichem Daten- 
schutzbeauftragten (DSB) gewidmet. 
Die Institution des betrieblichen oder 
behördlichen Datenschutzbeauftragten 
wird mit dem Inkrafttreten der DS-GVO 
in den meisten Staaten erstmalig einge- 
führt. In Deutschland gibt es dagegen 
eine jahrzehntelange Praxis hierzu. 


Artikel 35 — Benennung eines 
Datenschutzbeauftragten 


Absatz 1 

Für Behörden und öffentliche 
Einrichtungen ist die Regelung, wann 
ein Datenschutzbeauftragter zu bestel- 
len („benennen“) ist, in Art. 35 Abs. 1 
Buchstabe a) einfach und eindeutig: 
Sobald personenbezogene Daten ver- 
arbeitet werden, ist ein Datenschutz- 
beauftragter zu bestellen. 

Für nichtöffentliche Einrichtungen 
ist in Art. 35 Abs. 1 Buchstaben b) und 
c) vorgegeben, wann ein Datenschutz- 
beauftragter zu bestellen ist. Gemäß Art. 
35 Abs. 1 Buchstabe b) ist von Unter- 
nehmen ein Datenschutzbeauftragter 
zu bestellen, wenn die verantwort- 
liche Stelle („der für die Daten- 
verarbeitung Verantwortliche“) oder der 
Datenverarbeiter im Auftrag („Auftrags- 
verarbeiter‘‘) 250 oder mehr Mitarbeiter 
beschäftigt. 

Der dritte Grund ist dagegen nicht so 
klar und zudem in den Erläuterungen an- 
ders formuliert als im Text des Artikels 
35: 

Während es bei der Formulierung 
der Erläuterungen um Verarbeitungs- 
vorgänge geht, die einer regelmäßigen, 
systematischen Überwachung bedür- 
fen, geht es bei dem Text von Art. 35, 
Abs. 1 Buchstabe c) um die Betroffenen, 
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deren regelmäßige und systemati- 
sche Beobachtung erforderlich für 
die Verarbeitungsvorgänge sein muss. 
Dabei müssen diese Verarbeitungs- 
vorgänge auch noch zur Kerntätigkeit 
der verantwortlichen Stelle bzw. des 
Auftragsverarbeiters gehören. Die For- 
mulierung der Erläuterung wäre in etwa 
vergleichbar mit den Anforderungen, 
wann eine Vorabkontrolle nach $ 4d Abs. 
5 BDSG vorgenommen werden muss. 
Zur Interpretation der Formulierung im 
Artikel kann der Erwägungsgrund 75 
herangenommen werden: 

„In Fällen, in denen die Verarbeitung 
im öffentlichen Sektor oder durch ein 
privates Großunternehmen erfolgt 
oder in denen die Kerntätigkeit eines 
Unternehmens ungeachtet seiner Größe 
Verarbeitungsvorgänge einschließt, 
die einer regelmäßigen und systema- 
tischen Überwachung bedürfen, sollte 
der für die Verarbeitung Verantwortliche 
oder der Auftragsverarbeiter bei der 
Überwachung der unternehmensin- 
ternen Einhaltung der Bestimmungen 
dieser Verordnung von einer wei- 
teren Person unterstützt werden. 
Derartige Datenschutzbeauftragte soll- 
ten unabhängig davon, ob es sich um 
Angestellte des für die Verarbeitung 
Verantwortlichen handelt oder nicht, 


Artikel 35 


1. Der für die Verarbeitung Verantwortliche 
und der Auftragsverarbeiter benennen ei- 
nen Datenschutzbeauftragten, falls 


(...) oder 


c) die Kerntätigkeit des für die Verarbeitung 
Verantwortlichen oder des Auftragsverarbeiters in 
der Durchführung von Verarbeitungsvorgängen 
besteht, welche aufgrund ihres Wesens, ih- 
res Umfangs und/oder ihrer Zwecke eine regel- 
mäßige und systematische Beobachtung von be- 
troffenen Personen erforderlich machen. 


ihre Pflichten und Aufgaben in vollstän- 
diger Unabhängigkeit ausüben können. “ 

Auch dieser Erwägungsgrund lässt die 
Vermutung zu, dass der Text von Art. 35 
Abs. 1 Buchstabe c) fehlerhaft ist. 

Unter der Annahme, dass die 
Formulierung aus dem Erwägungsgrund 
75 und der Erläuterung zu Artikel 
35 das darstellt, was im Entwurf der 
DS-GVO zur Benennung der Daten- 
schutzbeauftragten geregelt werden 
soll, und dass die Verarbeitungen, die 
„die einer regelmäßigen und systemati- 
schen Überwachung bedürfen“ in etwa 
denen entsprechen, die nach $ 4d Abs. 
5 BDSG einer Vorabkontrolle bedür- 
fen, ist davon auszugehen, dass viele 
der Unternehmen, die derzeit nach $ 4f 
BDSG einen Datenschutzbeauftragten 
bestellt haben, auch künftig einen 
Datenschutzbeauftragten benennen 
müssen. Allerdings wird die Anzahl 
der Unternehmen in Deutschland, die 
nach Art. 35 Abs. 1 einen Datenschutz- 
beauftragten benennen müssen, deut- 
lich geringer sein, als die Anzahl der 
Unternehmen die nach $ 4f BDSG einen 
Datenschutzbeauftragten bestellen müs- 
sen. 

Leider zeigt die Erfahrung, dass entge- 
gen der klaren Formulierung in $ 4g Abs. 
2a BDSG viele Geschäftsführer und 


Erläuterungen zu Artikel 35 


Artikel 35 schreibt 

die Einsetzung eines 
Datenschutzbeauftragten für 
(...) und in Fällen vor, in denen 
die Kerntätigkeit des für die 
Verarbeitung Verantwortlichen 
oder des Auftragverarbeiters 
aus Verarbeitungsvorgängen 
besteht, die einer regel- 
mäßigen, systematischen 
Überwachung bedürfen. 


Inhabermeinen, dasssiesichnichtumden 
Datenschutz kümmern müssten, wenn sie 
keinen Datenschutzbeauftragten bestel- 
len müssen. Wenn hier die Kapazitäten 
der bundesdeutschen Aufsichtsbehörden 
nicht deutlich erhöht werden — und deut- 
lich häufiger Datenschutzkontrollen 
durchgeführt werden, wird diese ein- 
deutig zu hoch angesetzte Zahl von 250 
Mitarbeitern, ab der ein Datenschutz- 
beauftragter zu bestellen ist, dazu füh- 
ren, dass in vielen Unternehmen der 
Datenschutz noch mehr an Bedeutung 
verlieren wird. 


Absatz 2 

Abs. 2 regelt ausdrücklich, dass es 
Konzerndatenschutzbeauftragte geben 
kann, indem eine Gruppe von Groß- 
unternehmen, also eine Gruppe von 
Unternehmen mit jeweils mehr 250 
Mitarbeitern, einen gemeinsamen Daten- 
schutzbeauftragten bestellen darf. Füreine 
Bestellung die nach Buchstabe c) zu erfol- 
gen hat, gilt Absatz 2 nicht. In der Praxis 
gab und gibt es auch bisher in Deutschland 
Konzerndatenschutzbeauftragte, auch 
wenn sie formal von (fast) jedem Unter- 
nehmen des Konzerns eigenständig be- 
stellt worden sind. 


Absatz 3 

Absatz 3 regelt, dass mehrere 
Behörden und öffentliche Einrichtungen 
entsprechend ihrer Struktur einen 


Datenschutzbeauftragten für mehrere 
Bereichebestellenkönnen. Diesstelltkei- 
ne Änderung gegenüber den bereits jetzt 
in Deutschland geltenden Regelungen 
auf Bundes- und Länderebene dar. 


Absatz 4 

Absatz 4 erlaubt die Bestellung eines 
Datenschutzbeauftragten ausdrücklich 
auch dann, wenn die Bedingungen aus 
Absatz 1 nicht erfüllt sind. 


Absatz 5 

Absatz 5 formuliert Mindestanfor- 
derungen an die berufliche Qualifikation 
und das Fachwissen, die sich — ähn- 
lich wie im BDSG - vor allem nach 
der Art der Datenverarbeitung und dem 


Schutzbedarf richten. 
Absatz 6 

In Absatz 6 wird erfreulicher Weise 
deutlich gemacht, dass es keine 


Interessenkonflikte zwischen der Auf- 
gabenerfüllung als Datenschutzbeauf- 
tragter und sonstigen Tätigkeiten im 
Unternehmen oder der Behörde geben 
darf. Dies gilt bereits auch nach deut- 
schem Datenschutzrecht. Allerdings 
nur über den Umweg, dass das Vorhan- 
densein von Interessenkonflikten von 
den Aufsichtsbehörden als mangelnde 
Zuverlässigkeit ausgelegt wird. 


Absatz 7 

Absatz 7 legt fest, dass ein Daten- 
schutzbeauftragter für mindestens zwei 
Jahre zu benennen ist und in seiner 
Amtszeit nur von seinem Amt ent- 
hoben werden kann, „wenn er die 
Voraussetzungen für die Erfüllung sei- 
ner Pflichten nicht mehr erfüllt“. Eine 
Benennung für weitere Amtszeiten wird 
ausdrücklich für zulässige erklärt. 

Das BDSG nennt keine Min- 
destfristen für die Bestellung als 
Datenschutzbeauftragter. Bei externen 
Datenschutzbeauftragten erwarten die 
Aufsichtsbehörden allerdings eine Min- 
destbestellung von drei bis fünf Jahren. 
Bei internen Datenschutzbeauftragten, 
bei denen der zum 01. September 2009 
eingeführte Kündigungsschutz greift, 
gehen einige Unternehmen inzwischen 
auch dazu über, den Datenschutzbeauf- 
tragten nur befristet zu bestellen. Auch 
wenn es hierzu keine Regelung im 
BDSG gibt, wird dies von den Aufsichts- 
behörden toleriert, solange die Dauer der 
Befristung ausreichend lange ist, um die 
unabhängige Aufgabenerfüllung zu ge- 
währleisten. Bei einem Mindestzeitraum 
von zwei Jahren, wie ihn der aktuel- 
le Verordnungsentwurf vorsieht, ist die 
unabhängige Aufgabenerfüllung nicht 
sicher gestellt. Die Praxis zeigt, dass 
auch bei Vorliegen der erforderlichen 
beruflichen Qualifikation und des nöti- 
gen Fachwissens, die Tätigkeit als neuer 
Datenschutzbeauftragter in einem Unter- 
nehmen eine gewisse Einarbeitungszeit 
bedarf. Sollte ein Unternehmen alle 
zwei Jahre einen neuen Datenschutz- 
beauftragten bestellen, so wäre eine kon- 
tinuierliche Aufgabenerfüllung schlicht 
nicht möglich. 


Absatz 8 

Absatz 8 regelt explizit, dass Daten- 
schutzbeauftragte nicht bei der ver- 
antwortlichen Stelle oder dem Auftrags- 


verarbeiter beschäftigt sein müssen, 
sondern die Tätigkeit auch auf Basis ei- 
nes Dienstvertrages erbringen können. 
Allerdings sind hier keine Regelungen 
zu Berufsgeheimnisträgern, wie Ärzten 
und Rechtsanwälten enthalten. Im 
BDSG wurden 2006 solche Regelungen 
explizit eingeführt um klarzustellen, 
dass der aufgabenbedingte Zugriff auf 
Patienten- oder Mandantendaten keine 
Verletzung des Privatgeheimnisses nach 
$ 203 StGB darstellt. Ohne entspre- 
chende Anpassungen entweder in der 
Verordnung oder im nationalen Recht 
(z.B. durch Klarstellung im $ 203 StGB) 
wäre diese Formulierung ein Rückschritt 
vor 2006. 


Absatz 9 

Durch Absatz 9 wird — die leider im 
BDSG nicht vorhandene — Pflicht ein- 
geführt, Namen und Kontaktdaten des 
Datenschutzbeauftragten der Aufsichts- 
behörde und der Öffentlichkeit mitzu- 
teilen. Ohne die Kenntnis zumindest der 
Kontaktdaten ist die direkte Ansprache 
des Datenschutzbeauftragten durch ei- 
nen Betroffenen kaum möglich. Daher 
ist diese Regelung sehr zu begrüßen. 


Absatz 10 

Gemäß Absatz 10 können sich Betrof- 
fene, wie es bereits auch im $ 4f Abs. 5 
Satz 2 BDSG geregelt ist, direkt an den 
Datenschutzbeauftragten wenden. 


Absatz 11 

Mit Absatz 11 wird der Kommission 
das Recht gegeben, durch „delegierte 
Rechtsakte‘ zu erlassen „um die Kriterien 
und Anforderungen für die in Absatz 1 
Buchstabe c genannte Kerntätigkeit des 
für die Verarbeitung Verantwortlichen 
oder des Auftragsverarbeiters so- 
wie die Kriterien für die berufliche 
Qualifikation des in Absatz 5 genannten 
Datenschutzbeauftragten festzulegen“. 

Durch diese Regelung werden we- 
sentliche Teile der Datenschutz-Grund- 
verordnung nicht von der Verordnung 
selbst geregelt und damit durch den 
Ministerrat und das EU-Parlament be- 
schlossen, sondern der Kommission 
überlassen. Nur wenn der Ministerrat 
oder das EU-Parlament innerhalb von 
zwei Monaten nach Mitteilung eines sol- 
chen Rechtsaktes durch die Kommission 
Einwände erhebt, tritt ein solcher 
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Rechtsakt nicht in Kraft. Daher sollten 
zumindest Mindestkriterien direkt in der 
Verordnung bestimmt werden. 


Artikel 36 — Stellung des 
Datenschutzbeauftragten 


Die in Artikel 36 enthaltenen Rege- 
lungen zur Stellung des Daten- 
schutzbeauftragten (Unabhängigkeit, 
Weisungsfreiheit, direkter Bericht an die 
Leitung der Stelle, etc.) entsprechen den 
im BDSG enthaltenen Regelungen. 


Artikel 37 - Aufgaben des 
Datenschutzbeauftragten 


Während die Formulierungen in 
$ Ag BDSG zu den Aufgaben des 
Datenschutzbeauftragten nur in einem 
Punkt, nämlich dem Vertrautmachen der 
Mitarbeiter mit den arbeitsplatzbezoge- 
nen Anforderungen des Datenschutzes, 
ausreichend konkret sind, stellt Artikel 
37 des Entwurfs die Aufgaben deutli- 
che konkreter dar. Insbesondere wird 
die Pflicht des Datenschutzbeauftragten, 
die verantwortliche Stelle bzw. 
den Auftragsverarbeiter über die 
Datenschutzverpflichtungen zu un- 
terrichten und zu beraten, sowie die- 


se Tätigkeit und die Antworten zu do- 
kumentieren, ausdrücklich in seinen 
Aufgaben aufgeführt. 


Sanktionen 


Gemäß Art. 79 Abs. 6 Buchstabe j ver- 
hängt die Datenschutzaufsichtsbehörde 
ein Bußgeld in Höhe bis zu einer 
Millionen Euro oder bei Unternehmen 
bis zu2% des weltweiten Jahresumsatzes 
gegen jeden, der vorsätzlich oder fahr- 
lässig „keinen Datenschutzbeauftragten 
nach Artikel 35 benennt oder nicht die 
Voraussetzungen für die Erfüllung sei- 
ner Aufgaben gemäß Artikel 35, 36 und 
37 schafft“. 

Im Gegensatz zur aktuell geltenden 
Regelung in Deutschland gehört damit 
die Nichtbestellung eines erforderlichen 
Datenschutzbeauftragten zur Gruppe 
der schweren Verstöße mit den höch- 
sten Bußgeldandrohungen. Dies ist aus 
Datenschutzsicht zu begrüßen. 


Fazit 


Die Regelungen zur Bestellung von 
Datenschutzbeauftragten stellen zwar 
für weite Teile der EU eine deutli- 
che Erhöhung des allgemeinen Daten- 


Viktor Mayer-Schönberger 


Was uns Mensch sein lässt — 
Anmerkungen zum Recht auf Vergessen 


Die Europäische Kommission mach- 
te Ende 2011 ihren Entwurf einer 
Verordnung des Parlaments und des 
Rates zum allgemeinen Datenschutz 
den am Rechtswerdungsprozess Be- 
teiligten zugänglich. Rasch gelangte 
dieser Entwurf an die Öffentlichkeit 
und wurde seitdem von einer großen 
Zahl an Medien und Experten gleicher- 
maßen analysiert und bewertet. Das 
Interesse ist verständlich; geht es doch 
um nichts weniger als eine Moder- 
nisierung des in die Jahre gekommenen 
allgemeinen Datenschutzes auf europä- 
ischer Ebene. 
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Einer der fünf von der Kommission 
bereits davor angekündigten Säulen die- 
ser Modernisierung soll ein „Recht auf 
Vergessen“ sein. Erwartungskonform 
findet sich daher im Entwurf in Artikel 
17 ein Recht auf Vergessen und 
Löschung. Um zu verstehen, warum der 
Kommission ein auf den ersten Blick 
sehr enger Aspekt des Datenschutzes — 
das Vergessen — einen Artikel wert ist, 
bedarf es zweierlei: 1. einen Blick auf 
die Rolle, die dem Vergessen und dem 
Erinnern in unserer Gesellschaft zu- 
kommt; und 2. ein Verständnis für die 
durch digitale Technologien geför- 


schutzniveaus dar, bedürfen aber un- 
geachtet dessen einer Überarbeitung. 
Hierbei sollten die Erfahrungen aus 
der Praxis sowohl interner und ex- 
terner Datenschutzbeauftragter eben- 
so einfließen, wie die Erkenntnisse 
der Datenschutzaufsichtsbehörden. 
So müssen nicht nur unklare (und wie 
in Art. 35 Abs. 1 Buchstabe c) un- 
richtige) Formulierungen klarer ge- 
fasst werden, sondern auch die ma- 
teriellen Regelungen insbesondere 
bezüglich der Mitarbeiterzahlen und 
der Mindestbestellfristt auf praxis- 
bezogene Werte angepasst werden. 
Alle Mitarbeiter eines Unternehmens 
zu zählen, unabhängig davon, ob sie 
personenbezogene Daten verarbei- 
ten oder nicht, ist genauso wenig hilf- 
reich, wie die Anzahl der Mitarbeiter, 
ab der ein Datenschutzbeauftragter 
zu bestellen ist, willkürlich hoch zu 
setzen. Alle zwei Jahre einen neuen 
Datenschutzbeauftragten zu bestellen 
führt sicher nicht zur kontinuierlichen 
und unabhängigen Aufgabenerfüllung. 
Als Grundlage für konstruktive 
Diskussionen ist der Entwurf geeignet, 
zu un- oder nur geringfügig veränderten 
Verabschiedung dagegen nicht. 


derte Veränderungen im praktischen 
Vergessen und Erinnern. 

In einem weiteren, dritten Schritt gehe 
ich dann auf die von der Kommission 
vorgeschlagene Implementation des 
Rechts auf Vergessen ein. Dabei ist zu 
Beginn eine Begriffsklärung notwen- 
dig: Vergessen und Erinnern bezeich- 
nen in der Regel menschliche Vorgänge, 
die aber seit Jahrtausenden durch tech- 
nische Hilfsmittel (z. B. Schrift) unter- 
stützt werden. In unserer digitalen Welt 
umfasst das praktische Erinnern von 
Vergangenem geradezu regelmäßig ein 
Zusammenwirken von menschlichem 


Geist und technischen Hilfsmitteln. 
In diesem Sinn versteht auch die 
Kommission die Begriffe, und ihr vorzu- 
werfen, sie hätte Vergessen und Erinnern 
semantisch falsch eingesetzt, negiert die 
Wirklichkeit. 


1. Die Rolle von Erinnern und 
Vergessen: 


In der Diskussion wird die Gefahr 
des fehlenden Vergessens oft auf eine 
Debatte um informationelle Ungleich- 
gewichte verengt. Natürlich: Wenn 
andere Informationen über uns sam- 
meln, speichern und wiederfinden kön- 
nen, lange nachdem wir selbst diese 
Informationen schon vergessen haben 
oder auch ohne dass wir von deren 
Existenz gewusst haben, dann verschiebt 
sich die informationelle Macht zugun- 
sten dieser Informationssammler und zu 
Lasten der Betroffenen. Das aufzuzeigen 
ist notwendig, und auch ein tragfähiger 
Grund für ein Recht auf Vergessen ein- 
zutreten. 

Aber das Vergessen erfüllt noch wei- 
tere Funktionen. Wir Menschen ver- 
gessen physiologisch die allermeisten 
Sinneseindrücke und Gedanken. Nur 
ein ganz kleiner Bruchteil dessen, was 
wir täglich erleben und denken bleibt 
in unserem Langzeitgedächtnis erhal- 
ten. Unser Gehirn arbeitet dabei infor- 
mationsökonomisch effizient: gerade 
weil wir abstrahieren und zu allgemei- 
nen Schlussfolgerungen befähigt sind, 
vergessen wir Details. Durch das 
Vergessen entledigen wir uns also zu- 
meist jener Informationen, die unser 
Gehirn für unser Handeln und Sein in 
der Gegenwart als nicht relevant ein- 
stuft. Das mag manchmal daneben grei- 
fen (wenn wir nicht mehr erinnern, wo 
in einer großen Parkgarage wir unser 
Auto abgestellt haben), aber funktio- 
niert im Wesentlichen erstaunlich gut. 
Im Gegenzug bedeutet dies: Wer sich an 
alles in seiner Vergangenheit erinnert, 
hat Schwierigkeiten im Hier und Heute 
zu leben und zu entscheiden; dafür ist 
die Vergangenheit zu präsent. Das bestä- 
tigen die einschlägigen Arbeiten führen- 
der Kognitionsforscher. 

Wer in der Vergangenheit verhaftet 
bleibt, dem fällt es nicht nur schwer in 
der Gegenwart zu entscheiden, sondern 
auch sich selbst und sein Gegenüber als 
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Menschen wahrzunehmen, die sich über 
die Zeit hinweg verändern. Erinnert 
man Menschen, dass ihr Gegenüber sie 
vor zehn Jahren belogen hat, misstrau- 
en sie plötzlich ihrem Gegenüber auch 
in der Gegenwart. Umfassendes, ste- 
tes Erinnern lässt uns daher verges- 
sen, dass wir alle uns verändern, unsere 
Meinungen wechseln, unsere Vorlieben, 
und mitunter auch unsere Werte. Wir 
verlernen so auch zu vergeben. 

Stetes Erinnern erschwert es in der 
Gegenwart zueentscheiden, unduns selbst 
und unser Gegenüber als ein sich verän- 
derndes Individuum wahrzunehmen. Es 
nimmt uns, wie der Schriftsteller Jorge 
Luis Borges formulierte, genau das, was 
uns Mensch sein lässt. 


2. Das Vergessen in der 
digitalen Zeit: 


Weil wir das Meiste vergessen, haben 
Menschen seit Jahrtausenden versucht 
Erinnerungen festzuhalten. Sprache, 
Schrift, und Malerei sind eindrück- 
liche Beispiele, zu denen sich weite- 
re Techniken wie Fotografie, Film und 
Tonaufzeichnung gesellten. Aber bis 
zum Beginn des digitalen Zeitalters 
blieb das Festhalten von Erinnerungen 
zeitaufwändig und teuer, und wurde da- 
her mit Bedacht eingesetzt: vermeint- 
lich wichtige Dinge wurden festgehal- 
ten, und das Vergessen blieb die Regel. 

Im digitalen Zeitalter hat sich dies 
in zweifacher Hinsicht verändert. Zum 
Ersten sind digitale Speicher heute so 
kostengünstig, dass wir ohne Aufwand 
vieles oder alles in diesen Speichern 
festhalten können: jede Version eines 
Dokumentes, jedes Email, jedes noch 
so schlechte digitale Foto. Speichern 
ist heute kostengünstiger als Löschen: 
selbst fünf Sekunden unserer Zeit zu ent- 
scheiden, ob wir ein digitales Foto be- 
halten oder löschen wollen, ist „teurer“, 
als dieses Foto zu speichern (und zu si- 
chern). Da macht es auch ökonomisch 
wenig Sinn mehr, diese Speicher nicht 
zu nutzen. 

Zum Zweiten ist heute das Wieder- 
auffinden gespeicherter Informationen 
vergleichsweise einfach und intuitiv ge- 
worden. Wir müssen uns nicht mehr ver- 
kürzte Dateinamen aus acht Stellen mer- 
ken, janicht einmal mehr Dateinamen an 
sich, weil wir ganz einfach unsere digi- 


talen Speicher im Volltext durchsuchen 
können. Wir haben ein Jahrzehnt und 
mehr unsere Emails zur Verfügung und 
die Suchfunktion findet die zehn Jahre 
alten nur Bruchteile von Sekunden nach 
denen von letzter Woche. Am Internet 
ist es dank Google und Bing empfun- 
den nicht anders. Das konfrontiert uns 
ständig mit vergessen Geglaubtem, an 
das wir dann durch die digitale Krücke 
wieder erinnern. Im digitalen Leben 
lässt uns die Vergangenheit nicht mehr 
los. Facebook hat daraus noch eine 
Dienstleistung gemacht. 

Das aber kann genau zu den Konse- 
quenzen eines steten Erinnerns führen, 
die ich oben skizziert habe. Genau des- 
halb lohnt es sich, darüber nachzuden- 
ken, wie man dem Vergessen auch in di- 
gitalen Zeiten wieder eine Chance geben 
kann — nicht um des Vergessens willen, 
sondern um unser selbst willen. 


3. Das vorgeschlagene Recht 
auf Vergessen: 


Der Kommissionsentwurf zu Artikel 
17 (Recht auf Vergessen) enthält für 
Datenschutz-Experten jedenfalls auf 
den ersten Blick viel Vertrautes. Hier 
wird wiederholt und zusammengefasst, 
allenfalls ein wenig akzentuiert und kon- 
turiert, was schon in der Datenschutz-RL 
galt: klare Zweckbindung als Kriterium 
für die Speicherdauer, Verweis auf 
die Zustimmung der Betroffenen, 
Recht auf Löschung. Allenfalls mag 
die Kompetenzzuweisung an die 
Kommission zu sektoralen Sonder- 
bestimmungen das Interesse wecken. 

Das ist kein automatischer Makel. 
Es mag für die Rechtsunterworfenen, 
die sich bisher in der Komplexität der 
Datenschutz-RL nicht zurecht gefunden 
haben, vielleicht sinnvoller sein, thema- 
tisch bezogen alles an einer Stelle zu fin- 
den. 

Interessant ist auch, wie Absatz 7 
die Verarbeiter bewusst einbindet und 
auffordert, technische Vorkehrung für 
ein „Vergessen“ bei Zeitauflauf — in- 
tuitiv denkt man an ein Ablaufdatum - 
zu treffen. Verbunden mit den von der 
Kommission vorgesehenen erweiterten 
Möglichkeiten der Aufsichtsbehörde, 
kann sich hier eine durchaus interes- 
sante Dynamik entwickeln, die den 
Datenschutz langsam aber sicher 
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von seiner primären Bezogenheit auf 
Individualrechte der Zustimmung ab- 
löst. 

Genau das sehe ich als den sub- 
lim versteckten, aber vielleicht struk- 
turell größten Innovations-Schritt des 
Kommissionsentwurfes. Hatten wir über 
Jahrzehnte versucht (und mit guten theo- 
retischen Gründen!), die Verarbeitung 
personenbezogener Daten an die infor- 
mierte Zustimmung der Betroffenen zu 
koppeln, so scheint sich nunmehr auch in 
der Kommission die Erkenntnis etabliert 
zu haben, dass dies alleine nicht aus- 
reicht. Es geht nicht mehr vor allem um 
den Schutz ex ante, sondern — gerade weil 


Eric Töpfer 


so viel von uns auch selbst „verschuldet“ 
online ist — gerade auch um den Schutz 
ex post. Das „Recht auf Vergessen“ kann 
hier helfen, weil es ganz nahe an der 
Rechtswirklichkeit der Betroffenen die 
Notwendigkeit einer Korrektur ex post 
vor Augen hat: es soll bildlich gesprochen 
helfen, nachdem die Milch vergossen ist. 
Das ist nur zu begrüßen. Die Praxis wird 
zeigen, wie gut das klappt. 


4. Fazit 


ImLichte dertechnischen Entwicklung 
und gesellschaftlichen Nutzung des 
Internets wird die Notwendigkeit ver- 


ständlich, sich dem Vergessen in di- 
gitalen Zeiten auch aus legislativer 
Perspektive zu nähern. Das in Artikel 
17 des Verordnungs-Entwurfes konkre- 
tisierte Recht auf Vergessen ist dazu ein 
erster evolutionärer, aber willkommener 
Schritt. 


Eine weit detailliertere und deshalb 
auch differenziertere Argumentation fin- 
det sich in Viktor Mayer-Schönberger, 
Delete: Die Tugend des Vergessens in 
Digitalen Zeiten (Berlin University 
Press 2010). 


Warum wehren sich Menschen (nicht) gegen 
Verletzungen ihrer Datenschutzrechte? 


Eine Studie der EU-Agentur für Grundrechte sucht Antworten 


In Vorausschau auf das Inkrafttreten 
des Vertrages von Lissabon und die ab- 
sehbare Novellierung des europäischen 
Datenschutzrechts schrieb der Rat der 
Europäischen Union der neu gegrün- 
deten EU-Agentur für Grundrechte 
im Jahr 2007 das Thema ‚„Infor- 
mationsgesellschaft und insbesondere 
Achtung der Privatsphäre und Schutz 
von personenbezogenen Daten“ in ihren 
ersten Mehrjahresplan.' 

Ziel der Grundrechteagentur, so ihr 
Gründungsdokument, istes, der Gemein- 
schaft und ihren Mitgliedstaaten „bei der 
Durchführung des Gemeinschaftsrechts 
in Bezug auf die Grundrechte 
Unterstützung zu gewähren und ihnen 
Fachkenntnisse bereitzustellen, um ih- 
nen die uneingeschränkte Achtung der 
Grundrechte zu erleichtern“. Hierzu soll 
sie „relevante objektive, verlässliche und 
vergleichbare Informationen und Daten“ 
sammeln, erfassen, analysieren und ver- 
breiten, dafür Standards entwickeln, 
„wissenschaftliche Forschungsarbeiten 
und Erhebungen“ durchführen“ und 
„schlussfolgerungen und Gutachten zu 
bestimmten Themen“ ausarbeiten und 
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veröffentlichen. Dies allerdings mit 
drei wesentlichen Einschränkungen: 
Den thematischen Rahmen der 
Tätigkeit der Agentur steckt der Rat 
mit Mehrjahresprogrammen ab, die auf 
Vorschlag der Kommission und nach 
Anhörung des Parlaments beschlossen 
werden. Zu Gesetzgebungsverfahren der 
EU darf die Agentur nur dann Stellung 
nehmen, wenn sie ausdrücklich von be- 
teiligten Organen dazu aufgefordert wird. 
Auch befasst sie sich nicht mit der Frage 
der Rechtmäßigkeit von Handlungen der 
Unionsorgane oder Vertragsverletzungen 
durch Mitgliedstaaten.? 

Nachdem die Grundrechteagentur 
2008/2009 mit einer Stellungnahme zur 
Speicherung von Fluggastdaten und der 
Beteiligung an einer Konsultation der 
Kommission zu Körperscannern erste 
Schritte im Themenfeld Datenschutz 
gegangen war, legte sie 2010 eine grö- 
Bere vergleichende Studie zur Rolle 
der nationalen Datenschutzbehörden 
vor.” Als zentrale Probleme wurde da- 
mals die mangelnde Unabhängigkeit der 
Aufsichtsbehörden in einigen Ländern, 
ihre oftmals unzureichende Ausstattung 


und mitunter mangelnde Kompetenzen 
genannt. Des Weiteren wurden die defizi- 
täre Durchsetzung bestehender Gesetze 
und der verbreitete Fokus auf „weiche“ 
Instrumente kritisiert. Nicht zuletzt wur- 
de-mit Verweis aufzwei Eurobarometer- 
Umfragen von 2008 — betont, dass die 
Bevölkerung sich der Gefahren unkon- 
trollierter Datenverarbeitung durchaus 
bewusst sei, aber die Rechte in diesem 
Bereich kaum kenne, geschweige denn 
einfordere. 

Vor dem Hintergrund dieser Ergebnisse 
hat die Grundrechteagentur nun eine 
vergleichende Studie zur Frage in 
Auftrag gegeben, wie den Menschen ihr 
Recht auf Datenschutz verschafft wer- 
den kann.* Mit Hinweis auf die Artikel 
22 (Rechtsbehelfe), 23 (Haftung), 24 
(Sanktionen) und 28 (Kontrollstelle) 
der EU-Datenschutzrichtlinie von 1995 
stellt die Agentur fest, dass europa- 
weit nur unzulängliche Informationen 
über den Zugang von Einzelpersonen 
zu rechtlichen und alternativen 
Formen der Wiedergutmachung in 
Datenschutzfragen verfügbar sind. 
Daher sollen in ausgewählten Ländern 
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die existierenden Rechtsbehelfe und 
Beschwerdemechanismen kartiert, 
Informationen zur Zahl der Beschwerden 
erhoben sowie Betroffene und Experten 
zu Erfahrungen und Zufriedenheit mit 
den bestehenden Möglichkeiten gehört 
werden.’ 

Beauftragt mit der Durchführung der 
nationalen Teilprojekte sind die „focal 
points“ des FRANET, eines 2011 ins 
Leben gerufenen Netzwerkes von For- 
schungseinrichtungen, die der Grund- 
rechteagentur zuarbeiten. Deutscher 
„focalpoint“ desFRANET ist-inKoope- 
ration mit dem Europäischen Forum 
für Migrationsstudien — das Deutsche 
Institut für Menschenrechte in Berlin, das 
2001 auf Empfehlung des Bundestages 
gegründet wurde, um über die Lage der 
Menschenrechte in In- und Ausland 
zu informieren und zur Prävention 
von Menschenrechtsverletzung bei- 
zutragen.* Neben einer rechtlichen 
Bestandsaufnahme wird das Institut 
bis August 2012 Beschwerdeführer, 
aber auch Menschen, die sich trotz 
Verdachts auf Datenschutzverletzungen 
nicht gewehrt haben, zu ihren Motiven, 
Erfahrungen und Meinungen interview- 
en. Richter sollen zu Entscheidungen in 
Beschwerdeverfahren befragt werden, 
und Anwälte, Mitarbeiter aus Daten- 
schutzbehörden sowie Vertreter von 
Nichtregierungsorganisationen werden 
gebeten, ihre Erfahrungen zu disku- 
tieren. 


EDRI 


Im Herbst werden schließlich die 
Forschungsergebnisse der nationalen 
Teilstudie ausgewertet und verglichen. 
Der abschließende Bericht soll 2013 er- 
scheinen. Die Grundrechteagentur er- 
hofft sich, mit den Ergebnissen der Studie 
den laufenden Gesetzgebungsprozess 
zur Datenschutznovelle zu informie- 
ren und durch die Identifizierung „guter 
Praktiken“ die Arbeit von Datenschutz- 
behörden und anderen Akteuren zu inspi- 
rieren. Man darf gespannt sein, ob z.B. 
der vermutlich nicht ohne Widerspruch 
bleibende Kommissionsvorschlag zur 
Einführung eines Verbandsbeschwerde- 
rechts (Art. 73, Abs. 2 und 3 des 
Vorschlags zur neuen Datenschutz- 
Grundverordnung)’ durch die Studie ar- 
gumentative Schützenhilfe erhält. 


Der Autor ist Wissenschaftlicher 
Mitarbeiter des Deutschen Instituts 
für Menschenrechte und für die 
sozialwissenschaftliche Forschung 
im deutschen Teilprojekt der Studie 
zuständig. Falls Sie als betrof- 
fener (Nicht-)Beschwerdeführer, 
Richter, Anwalt, Mitarbeiter ei- 
ner Aufsichtsbehörde oder einer 
Nichtregierungsorganisation Inte- 
resse haben, an der Studie teilzu- 
nehmen, kontaktieren Sie ihn bitte 
telefonisch unter 030-25.93.59.20 
oder per Mail unter toepfer@ 
institut-fuer-menschenrechte.de. 


jan 


Beschluss des Rates (2008/203/EG) 
vom 28. Februar 2008 zur Durchführung 
der Verordnung (EG) Nr. 168/2007 
hinsichtlich der Annahme eines 
Mehrjahresrahmens für die Agentur der 
Europäischen Union für Grundrechte für 
den Zeitraum 2007— 2012. Amtsblatt 
der EU, L 63/14-15 v. 7.3.2008. 


2 Verordnung (EG) Nr. 168/2007 des Rates 
vom 15. Februar 2007 zur Errichtung 
einer Agentur der Europäischen 
Union für Grundrechte. Amtsblatt 
der EU, L 53/1-14 v. 22.2.2007. 


3 European Union Agency for Fundamental 
Rights: Data Protection in European 
Union: the Role of National Data 
Protection Authorities. Luxembourg 2010. 
Online unter: http://fra.europa.eu/fraWeb- 
site/attachments/Data-protection_en.pdf 


4 Geplant sind in 2012/13 daneben auch die 
Edition eines Handbuchs zum Fallrecht 
des europäischen Datenschutzes sowie 
eine Studie zum Datenschutzbewusstsein 
von Internetnutzern. 


5 European Union Agency for Fundamental 
Rights: Annual Work Programme 
2012. Vienna, S. 25. Online unter: 
http://fra.europa.eu/fraWebsite/attach- 
ments/FRA_AWP2012_EN.pdf 


6 Ausführliche Informationen zum 
Institut auf der Website: www.in- 
stitut-fuer-menschenrechte.de 


7 Europäische Kommission: Vorschlag 
für Verordnung des Europäischen 
Parlaments und des Rates zum Schutz na- 
türlicher Personen bei der Verarbeitung 
personenbezogener Daten und zum 
freien Datenverkehr (Datenschutz- 
Grundverordnung). KOM(2012) 11 end- 
gültig v. 25.1.2012. Online unter: http:// 
ec.europa.eu/justice/data-protection/docu- 
ment/review2012/com_2012_11_de.pdf 


Europäischer Datenschutz in der digitalen 


Gesellschaft 


In Europa ist eine umfassende Reform 
des Datenschutzes mehr als überfäl- 
lig. Seit der Richtlinie von 1995 führ- 
ten der technische Fortschritt und die 
unterschiedliche Umsetzung in den 
Mitgliedstaaten dazu, dass wir heute 
dringend eine Novellierung und einheit- 
liche europäische Datenschutzgesetze 
brauchen. Angesichts der immer zentra- 
ler werdenden Rolle des Internet und der 
wachsenden globalen Vernetzung setzt 


12 


sich European Digital Rights (EDRi) 
dafür ein, dass Datenschutz heutzutage 
nicht mehr an Staatsgrenzen aufhört. 
Die aktuellen Probleme im Kampf für 
besseren Datenschutz in Europa lassen 
sich anhand von „Facebook vs. Europe“ 
gut veranschaulichen. Im letzten Jahr er- 
stattete ein Österreichischer Student bei 
der irischen Datenschutzbehörde ins- 
gesamt 22 Anzeigen gegen Facebook 
und forderte sämtliche über ihn ge- 


speicherte Daten an. Da Facebook sei- 
nen Sitz in Dublin hat, sind europä- 
ische Facebook-Nutzer derzeit durch 
den Nutzungsvertrag von der irischen 
Gesetzgebung abhängig. Einheitliche 
Datenschutzgesetze sind notwendig, 
denn Nutzer sozialer Netzwerke soll- 
ten endlich über ein ausreichendes 
Schutzniveau verfügen — auch wenn 
Unternehmen ihren Sitz in einem ande- 
ren Mitgliedstaat haben. 
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EUROPEAN 
DIGITAL 


RIGHTS 


Dies wirft direkt eine weitere Frage 
auf: Wie kann, bei einem steigenden 
Grad der globalen Vernetzung, mit der 
extraterritorialen Rechtsanwendung 
durch Drittländer umgegangen werden? 
Die USA wenden beispielsweise seit ei- 
nigen Jahren den PATRIOT Act sowie 
den Foreign Intelligence Surveillance 
Act (FISA) an, um auf Daten auslän- 
discher Personen zugreifen zu können, 
die in keiner Verbindung zu den USA 
stehen. Es ist essentiell, dieses rechtli- 
che Vakuum endlich mit einer umfas- 
senden Datenschutzreform zu beenden 
— die gegenwärtigen Beschränkungen 
sind de facto wirkungslos. Die neue 
Datenschutzverordnung muss dazu bei- 
tragen, den unkontrollierten Transfer 
personenbezogener Daten europäischer 
Bürger in Drittländer einzudämmen. 
Auch die neue Richtlinie für den Bereich 
Polizei und Justiz sollte strengere Regeln 
für den Zugriff von Ermittlungsbehörden 
in anderen EU-Ländern auf personenbe- 
zogene Daten aufstellen. 

Weiterhin bestehen derzeit Probleme 
der Regulierung durch Staaten einerseits 
und Selbstregulierungsversuche durch 
Unternehmen zum angeblichen Schutz 
der Nutzer anderseits. Aufgrund der 
Anzeigen wurde Facebook von der iri- 
schen Datenschutzbehörde geprüft und 
musste bereits die Anschuldigung des la- 
schen Vorgehens über sich ergehen las- 
sen ohne Gefahr zu laufen, sanktioniert 
zu werden. Die Untersuchungsberichte 
wurden dort sogar nur im Einvernehmen 
mit dem US-Unternehmen veröffent- 
licht. 

Zum anderen fordert die Wirtschaft 
seit längerem die Einführung unterneh- 
mensinterner Datenschutzregelungen 
und des sogenannten Grundsatzes 
der Rechenschaftspflicht. Aus dem 
Blickwinkel einer effizienteren Um- 
setzung von Datenschutzgesetzen er- 
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scheint dieser Ansatz zunächst begrü- 
Benswert — allerdings darf dies unter 
keinen Umständen zu einer Lockerung 
der Verpflichtungen führen und muss vor 
allem auch für den Bereich der interna- 
tionalen Datenübertragung gelten, wie 
die Artikel 29 Datenschutzgruppe be- 
reits in einer Stellungnahme von 2010 
forderte. 

Dann gibt es noch die zahlreichen 
Gesetzeslücken, die dringend gefüllt 
werden müssen. Viele Unternehmen 
erlauben sich durch ihre Allgemeinen 
Geschäftsbedingungen, die Daten der 
Nutzer frei zu verwenden und ändern die 
AGBs, wann immer sie möchten. Der 
Online-Speicherdienst Dropbox änder- 
te beispielsweise im letzten Jahr meh- 
rere Male die Nutzungsbedingungen. 
Im April 2011 kam eine Klausel dazu, 
mit der Nutzer einwilligten, dass US- 
Behörden auf Anfrage Zugriff auf ihre 
Daten bekommen. In der Regel gilt, dass 
— jedenfalls solange diese Fälle nicht in 
der Presse bekannt werden - Nutzer mei- 
stens unbewusst ihre Rechte abgeben. 

Die Vorschläge der EU-Kommission 
für eine allgemeine Datenschutzreform 
sind daher wichtig und notwendig. 
Gleichzeitig muss aber eine effekti- 
ve Implementierung sichergestellt wer- 
den. Dies kann zum Beispiel durch 
die Einführung von obligatorischen 
Datenschutz-Folgenabschätzungen ge- 
währleistet werden. Wirklich unab- 
hängige und angemessen ausgestattete 
Datenschutzbehörden sind ebenfalls eine 
Voraussetzung für eine Umsetzung der 
Regeln in die Praxis. Auch müssen da- 
tenschutzfreundliche Voreinstellungen 
für europäische Politikgestaltung gel- 
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ten, wie bei der Ausarbeitung von 
Richtlinien wie z.B. zur Vorratsdaten- 
oder Fluggastdatenspeicherung in 
Europa. 

Angesichts der zahlreichen Baustellen 
haben Datenschützer auf europäischer 
Ebene im Moment reichlich viel zu 
tun. Als Vernetzungsknoten für na- 
tionale Bürgerrechts- und Datens- 
chutzorganisationen sorgt EDRi in 
Brüssel dafür, dass bei der Politik- 
gestaltung die Interessen der Bürger und 
die EU-Grundrechtecharta nicht nur be- 
rücksichtigt, sondern konsequent zur 
Bedingung werden. 

Das Büro in Brüssel ist seit September 
2011 auf drei Leute angewachsen und 
versucht, dort ein Gegengewicht zu den 
über 15.000 Industrie-Lobbyisten herzu- 
stellen. EDRi ist ein Zusammenschluss 
von 28 Bürgerrechts- und Datenschutz- 
organisationen (FoeBuD, CCC, Vibe!At, 
Bits of Freedom, Open Rights Group...) 
aus insgesamt 18 verschiedenen euro- 
päischen Ländern. Damit ist EDRi die 
(bisher) einzige Brüsseler Stimme der 
Zivilgesellschaft für alle datenschutz- 
rechtlichen und netzpolitischen Aspekte 
in der digitalen Gesellschaft. 


Kontakt: 

European Digital Rights 
Rue Montoyer 39/9 
B-1000 Brussels 
http://edri.org 


Hinweis der Redaktion: 

Die Deutsche Vereinigung für 
Datenschutz wird im Jahr 2012 ihre 
Mitgliedschaft beantragen. 


o 
BIGRROTHER 
AWARDS. de 
Gala zur 12. Verleihung 
der BigBrotherAwards 


Freitag, 13.04.2012, 
18-20 Uhr, Hechelei 
der Ravensberger 
Spinnerei in Bielefeld 
Eintrittskarten erhalten 


Sie im Vorverkauf über den 
FoeBuD-Webshop 
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Cornelia Ernst, MdEP, und Lorenz Krämer 


Die Reform des europäischen Datenschutzrechts 


im Parlament 


Am 25. Januar hat die Europäische 
Kommission ihre lange erwarteten 
Vorschläge zum Ausbau des europä- 
ischen Datenschutzes vorgelegt. Die 
Vorschläge basieren auf dem mit dem 
Lissabon-Vertrag neu geschaffenen 
Artikel 16, mit dem die EU eine eigen- 
ständige Kompetenz für den Datenschutz 
erhalten hat. Gleichzeitig wurde die 
Europäische Grundrechtecharta Teil 
der Verträge: EU-Recht muss damit in 
Zukunft dem dort in Artikel 8 festgeleg- 
ten Recht auf Datenschutz genügen. 

Das Europaparlament hatte schon im 
Juni 2011 im Voss-Bericht mit breiter, 
überparteilicher Mehrheit eine Reihe 
Anforderungen für die anstehende 
Reform des Datenschutzes formuliert, 
von denen sich viele, aber längst nicht 
alle,indennun vorliegenden Vorschlägen 
wiederfinden. Es wurde klar gestellt, 
dass das Parlament eine Erneuerung 
der Datenschutzrichtlinie 95/46/EG be- 
grüße, solange diese auf den Prinzipien 
der bisher geltenden Regelung beru- 
he und auf keinen Fall dahinter zurück- 
fallen dürfe. Weitere Forderungen wa- 
ren unter anderem, dass in Zukunft der 
Datenschutz in den Mitgliedstaaten so- 
weit als möglich harmonisiert werden 
sollte, dass die Verarbeitung persönli- 
cher Daten auf einer expliziten und in- 
formierten Einwilligung beruhen müs- 
sten und die bestehenden Regeln daher 
präzisiert werden sollten, dass priva- 
cy by default und privacy by design als 
neue Grundsätze aufgenommen wer- 
den sollten und dass bei Verstößen wir- 
kungsvolle Sanktionen vorgesehen sein 
müssten. Diese Forderungen finden 
sich in dem Vorschlag für die allgemei- 
ne Datenschutz-Grundverordnung im 
Großen und Ganzen wieder. 

Andere, durchaus zentrale Anliegen 
des Parlaments finden sich dagegen nicht 
wieder. Dazu gehört die Forderung nach 
einer Regelung aus einem Guss, die den 
Datenschutz in allen Bereichen betrifft. 
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Auf dem Tisch liegen nun aber zwei 
Vorschläge. Der Datenschutz im Bereich 
der Strafverfolgung ist Gegenstand ei- 
nes separaten Richtlinienvorschlags, den 
der Europäische Datenschutzbeauftragte 
Peter Hustinx wegen des geringen 
Schutzniveaus schlicht als „unangemes- 
sen“ bezeichnet hat. Das ist besonders be- 
denklich, handelt es sich doch um einen 
Bereich, der naturgemäß tiefgreifende 
Folgen für die Betroffenen haben kann. 

Von beiden Legislativvorschlägen un- 
berührt bleibt die Datenverarbeitung 
durch Organe und Institutionen 
der EU, ebenso im Widerspruch zu 
den Forderungen des Parlaments. 
Derzeit wird dieser Bereich durch die 
Verordnung 45/2001 geregelt, deren 
Reformbedürftigkeit durchaus unbestrit- 
ten ist. Es ist auch schwer einzusehen, 
warum die Datenverarbeitung, die etwa 
von Behörden in den Mitgliedstaaten 
durchgeführt wird, unter den 
Wirkungsbereich der neuen Verordnung 
fallen soll, die Datenverarbeitung durch 
die verschiedenen EU-Agenturen da- 
gegen nicht. Das gilt umso mehr, wenn 
man bedenkt, dass die EU nicht nur 
als Arbeitgeber mehrer Zehntausend 
Beamter und Angestellter fungiert, son- 
dern in der Mehrzahl der Fälle auch als 
deren Kranken- und Sozialversicherung. 
Daneben darf auch nicht vergessen wer- 
den, dass zum Beispiel mit FRONTEX 
oder Europol auch EU-Agenturen beste- 
hen, deren Aktivitäten zumindest teil- 
weise im Bereich der Strafverfolgung 
oder Kriminalitätsprävention liegen und 
die ihre gespeicherten Daten auch unter- 
einander austauschen. 

Bei allen Schwächen der beiden 
Vorschläge hilft es indes nicht, auf 
Nachbesserungen durch die Kommission 
zu hoffen. Der Ball liegt jetzt ganz 
klar beim Europaparlament, wo sich 
nun der Ausschuss für Bürgerliche 
Freiheiten, Justiz und Inneres mit den 
Vorlagen befassen wird. Die beiden 


Berichte, die der Ausschuss dann ver- 
fasst, werden im Wesentlichen eine ab- 
geänderte Fassung der Texte enthal- 
ten, die über Änderungsanträge und 
Kompromissverhandlungen im Prinzip 
gemeinsam erarbeitet wird. Nach die- 
ser Phase stünde dann eigentlich die 
Abstimmung im Ausschuss mit folgen- 
der Abstimmung im Plenum an, wo- 
mit das Parlament seine erste Lesung 
abschließen würde. Die resultierende 
Fassung des Textes könnte der Rat dann 
akzeptieren, womit die Verordnung an- 
genommen wäre, oder eine eigene, ab- 
weichende Position beschließen, was 
eine zweite Lesung notwendig machen 
würde. 

Wahrscheinlicher ist es aber, dass ein 
anderes Prozedere zum Tragen kommt. 
Statteinerendgültigen Abstimmung wird 
der Innenausschuss eher nur eine vorläu- 
fige „Probeabstimmung‘ abhalten. Auf 
Grundlage der resultierenden „vorläu- 
figen“ Textfassung wird dann der soge- 
nannte „Trilog“ eingeleitet, dabei han- 
delt es sich um Dreiecksverhandlungen, 
bei denen neben Parlamentsvertretern 
Vertreter von Kommission und Minister- 
rat an einem Tisch sitzen. Der Rat wird 
vorher ebenso wie das Parlament eine 
eigene Wunschversion der Texte er- 
arbeitet haben. Gelingt es dann, sich 
in diesem Trilog auf eine gemeinsa- 
me Version zu einigen, kann auf die- 
ser Grundlage der Ausschuss dann sei- 
ne eigentliche Abstimmung nachholen, 
Parlamentsplenum und Rat dieselbe 
ausgehandelte Fassung beschließen und 
das Verfahren folglich noch in der ersten 
Lesung abschließen. Vorausgesetzt, dass 
sowohl das Parlament als auch der Rat 
ein Interesse an einer Neuregelung des 
Datenschutzes haben, können wir davon 
ausgehen, dass diese Verhandlungen 
irgendwann zu einem erfolgreichen 
Abschluss führen werden. 

Es ist klar, dass dieser Vorgang ei- 
nige Zeit in Anspruch nehmen wird. 
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Insbesondere in den entscheidenden 
Phasen, nämlich wenn die Fraktionen 
im Innenausschuss untereinander 
Kompromisse verhandeln werden und 
dann wieder während des Trilogs, wird 
übermäßige Eile sicher keine Vorteile 


Alexander Dix 


bringen. Die Vorschläge sind von viel 
zu weitreichender Tragweite, um ohne 
Not irgendwelche Positionen aufzu- 
geben, nur damit die Verhandlungen 
schneller abgeschlossen werden. Für 
den Fall, dass die Verhandlungen ein- 


mal wegen anscheinend unüberbrückba- 
rer Differenzen stecken bleiben sollten, 
gilt zu bedenken: Das Europaparlament 
wird alle fünf Jahre neu gewählt, die 
Mehrheiten im Rat dagegen sind bei 
weitem nicht so konstant. 


Vorratsdatenspeicherung widerspricht 
europäischen Grundrechten' 


Als das Bundesverfassungsgericht 
am 2. März 2010 die Regelungen zur 
anlassunabhängigen Speicherung von 
Telekommunikationsverkehrsdaten mit 
sofortiger Wirkung für verfassungs- 
widrig erklärte, war das für manche Poli- 
tiker ein Schock. Der frühere Berliner 
Innensenator Körting wies dagegen dar- 
auf hin, dass das Gericht die Vorrats- 
datenspeicherung nicht prinzipiell für 
verfassungswidrig erklärt habe; viel- 
mehr habe es dem Gesetzgeber so prä- 
zise Vorgaben gemacht, dass jetzt jeder 
Rechtsreferendar in der Lage wäre, 
ein verfassungskonformes Gesetz zur 
Vorratsspeicherung zu entwerfen. 

Trotzdem ist bisher kein solches 
Gesetz in Deutschland verabschiedet 
worden, und das aus gutem Grund. Denn 
auch nach der Entscheidung des Bun- 
desverfassungsgerichts und nach dem 
Inkrafttreten der europäischen Richtlinie 
zur Vorratsdatenspeicherung 2006/24 
muss die Frage gestellt werden, ob wir 
die Vorratsdatenspeicherung in Europa 
einführen können/wollen, und nicht nur, 
wie dies zu bewerkstelligen ist. 


Rechtliche Maßstäbe 


Die Antwort auf diese Grundfrage 
hängt davon ab, ob die Richtlinie von 
2006 mit der Europäischen Grund- 
rechte-Charta und der Europäischen 
Menschenrechtskonvention vereinbar 
ist. Diese Frage haben weder das Bundes- 
verfassungsgericht noch der Gerichtshof 
der Europäischen Union in Luxemburg 
noch der Europäische Gerichtshof für 
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Menschenrechte in Straßburg beantwor- 
tet. Das Bundesverfassungsgericht ist 
dieser Frage ausgewichen, weil es offen- 
bar den Konflikt mit dem EuGH scheu- 
te (auf das gleichwohl wichtige Urteil 
vom 2.3.2010 komme ich noch zu- 
rück). Der Berichterstatter im 1. Senat, 
Johannes Masing, hat kürzlich in der 
Süddeutschen Zeitung die Gefahr he- 
raufbeschworen, dass durch eine künfti- 
ge Europäische Datenschutzverordnung 
der deutsche Grundrechtsschutz und die 
Stellung des Bundesverfassungsgerichts 
ausgehöhlt werden könnte. Diese Gefahr 
besteht nicht erst bei Verabschiedung 
einer Datenschutzverordnung, sie be- 
stand schon früher, etwa bei der 
Verabschiedung der Vorratsdatenricht- 
linie. Denn auch eine Richtlinie hat 
Vorrang vor den Grundrechtsgarantien 
des Grundgesetzes. Weder die Bundes- 
regierung noch das Bundesverfassungs- 
gericht (das das Recht auf informatio- 
nelle Selbstbestimmung 1983 erfunden 
und die Bedeutung dieses Rechts bis 
heute immer wieder hervorgehoben hat) 
sind dieser Gefahr der Aushöhlung von 
Grundrechten durch das Unionsrecht zur 
Vorratsdatenspeicherung entschieden 
genug entgegengetreten. 

Der EuGH selbst hat zwar schon 
drei Mitgliedstaaten (Griechenland, 
Schweden und Österreich) wegen 
unterlassener Umsetzung der Vorrats- 
datenrichtlinie verurteilt (ohne bisher 
Sanktionen zu verhängen), dabei ist er 
aber nicht darauf eingegangen, ob die- 
se Richtlinie gegen Unionsgrundrechte 
verstößt. Formal hatte er dazu auch keine 


Veranlassung, weil die Mitgliedstaaten 
auch solche Richtlinien umsetzen müs- 
sen, die gegen Grundrechte verstoßen, 
wenn sie es versäumt haben, rechtzeitig 
die Nichtigkeit der Richtlinie feststel- 
len zu lassen (schwer erträglich). Auch 
betroffene Bürger hätten eine solche 
Nichtigkeitsklage gegen die Richtlinie 
erheben können, haben dies aber nicht 
innerhalb der vom Unionsrecht vor- 
gegebenen Zweimonatsfrist getan hat. 
Soeben hat allerdings der irische High 
Court seine schon vor zwei Jahren 
gemachte Ankündigung wahr ge- 
macht und die Frage der Vereinbarkeit 
der Vorratsdatenrichtlinie mit der 
Europäischen Grundrechte-Charta dem 
EuGH zur Entscheidung vorgelegt’. 

Der Europäische Gerichtshof für 
Menschenrechte wiederum konnte über 
die Frage noch nicht entscheiden, weil 
er meines Wissens noch nicht angerufen 
wurde. Die Menschenrechtskonvention 
hat zwar in Deutschland nur den Rang 
eines einfachen Gesetzes. Dennoch dürf- 
te ihre Bedeutung deutlich zunehmen, 
wenn die Europäische Union — wie es der 
Vertrag von Lissabon (Art. 6 Abs. 2 EUV) 
vorsieht — der Konvention beitritt, und 
damit auch Rechtsakte der Union vom 
Menschenrechtsgerichtshof kontrolliert 
werdenkönnen. Schon jetztsindnachdie- 
sem Vertrag die Grundrechte, wie sie in 
der Menschenrechtskonvention gewähr- 
leistet sind und wie sie sich aus den ge- 
meinsamen Verfassungsüberlieferungen 
der Mitgliedstaaten ergeben, als allge- 
meine Grundsätze Teil des Unionsrechts 
(Art. 6 Abs. 3 EUV). 
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Ich erinnere daran, dass der Euro- 
päische Menschenrechtsgerichtshof ge- 
rade in letzter Zeit wiederholt — etwa 
beim Persönlichkeitsrechtsschutz und 
bei der Sicherungsverwahrung — die 
Rechtsprechung des Bundesverfassungs- 
gerichts korrigiert hat. 

Artikel 8 der Menschenrechtskon- 
vention garantiert jeder Person das 
RechtaufAchtungihres Privatlebens und 
zählt dazu auch die „Korrespondenz“. 
Artikel 7 der Europäischen Grund- 
rechte-Charta ist nahezu wortgleich 
formuliert, spricht aber zeitgemäßer von 
„Kommunikation“. Damit sind wie beim 
Fernmeldegeheimnis nicht nur der Inhalt 
der Kommunikation, sondern auch ihre 
Begleitumstände gemeint, also wer mit 
wem von wo aus kommuniziert hat. 
Gerade diese Begleitumstände sollen 
nach der Vorratsdaten-Richtlinie anlass- 
unabhängigundohne Verdachtsmomente 
mindestens für ein halbes Jahr gespei- 
chert werden. 

Auch die Europäische Menschen- 
rechtskonvention lässt allerdings Ein- 
griffe in den Schutz des Privatlebens und 
der Kommunikation ausnahmsweise 
dann zu, wenn sie „in einer demokrati- 
schen Gesellschaft notwendig“ für be- 
stimmte Zwecke sind. Der Europäische 
Gerichtshof für Menschenrechte hat die- 
se Formulierung stets sehr restriktiv im 
Sinne eines „dringenden gesellschaft- 
lichen Bedürfnisses“ (pressing social 
need) interpretiert; zudem müssten ein- 
schränkende Maßnahmen verhältnis- 
mäßig bezogen auf das verfolgte Ziel 
sein. In seiner Abhörentscheidung (Fall 
Klass u.a. gegen Deutschland) hat der 
Gerichtshof 1978 formuliert: 

„Gleichwohl unterstreicht der Ge- 
richtshof, dass dies nicht bedeutet, die 
Vertragsstaaten hätten ein unbegrenz- 
tes Ermessen, Personen innerhalb ihres 
Hoheitsbereichs geheimer Überwachung 
zu unterwerfen. Im Bewusstsein der 
Gefahr, die ein solches Gesetz in sich 
birgt, nämlich die Demokratie mit der 
Begründung, sie zu verteidigen, zu unter- 
graben oder sogar zu zerstören, bekräftigt 
der Gerichtshof, dass die Vertragsstaaten 
nicht im Namen des Kampfes gegen 
Spionage und Terrorismus zu jedweder 
Maßnahme greifen dürfen, die ihnen ge- 
eignet erscheint.“ 

Zwar ging es im Fall Klass — anders 
als bei der Vorratsdatenspeicherung — 
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um eine heimliche Überwachung der 
Kommunikationsinhalte durch Abhör- 
maßnahmen der Nachrichtendienste. 
Das Bundesverfassungsgericht hat aber 
betont, dass der Rückgriff auf Verkehrs- 
(Rand- oder Meta-) daten der Tele- 
kommunikation nicht weniger schwer 
wiegt als eine Überwachung der Tele- 
kommunikationsinhalte. Denn sie erlau- 
ben tief in das Privatleben eindringende 
Rückschlüsse und ermöglichen unter 
Umständen detaillierte Persönlichkeits- 
und Bewegungsprofile. Andererseits 
waren und sind Abhörmaßnahmen 
nur bei Vorliegen bestimmter Voraus- 
setzungen im Einzelfall zulässig, nicht 
aber routinemäßig und auf Vorrat. 

Die Vereinbarkeit der Vorratsdaten- 
Richtlinie mit der Europäischen Men- 
schenrechtskonvention und damit auch 
der Grundrechte-Charta der Euro- 
päischen Union hängt deshalb von der 
Frage ab, ob eine verdachtsunabhän- 
gige, anlasslose Speicherung sämtli- 
cher Telekommunikationsverkehrsdaten 
in einer demokratischen Gesellschaft 
zwingend notwendig ist. Auf ihre — 
unbestrittene — Nützlichkeit für die 
Kriminalitätsbekämpfung (die nie- 
mand bestreitet) kommt es in diesem 
Zusammenhang auch nach Auffassung 
des Bundesverfassungsgerichts nicht an, 
sie rechtfertigt keine so weitreichenden 
Eingriffe in die Grundrechte. 


Zwingend notwendig in einer 
demokratischen Gesellschaft? 


Die verdachtsunabhängige Speiche- 
rung aller Telekommunikationsverkehrs- 
daten ist in einer demokratischen Gesell- 
schaft nicht zwingend notwendig. 
Darüber hinaus birgt sie auch neue, zu- 
sätzliche Sicherheitsrisiken. 

Dass die Vorratsdatenspeicherung kei- 
ne notwendige Voraussetzung für die 
Bekämpfung schwerer Straftaten wie 
Terrorismus und organisierter Krimi- 
nalität ist, hätte dem europäischen Ge- 
setzgeber schon bei Verabschiedung der 
Richtlinie von 2006 klar sein müssen: 
die überlebenden Urheber sowohl der 
Terroranschläge in London als auch in 
Madrid wurden zur Rechenschaft gezo- 
gen, obwohl es in beiden Staaten damals 
noch keine Vorratsspeicherpflicht gab. 
Es gibt zum einen gegenwärtig keine 
öffentlich überprüfbaren Belege da- 


für, dass die Bekämpfung von Straftaten 
seit dem 2. März 2010 erkennbar er- 
schwert worden wäre’. Wenig überzeu- 
gend sind auch aktuelle Versuche, die 
Bekämpfung des Rechtsterrorismus 
als Beleg für die Notwendigkeit der 
Vorratsdatenspeicherung anzuführen. 

Geradezu grotesk mutet es an, wenn 
vereinzelt sogar das Fehlen der Vorrats- 
speicherung als Erklärung oder Ent- 
schuldigung für das Versagen der Sicher- 
heitsbehörden bei der Verfolgung des 
„Nationalsozialistischen Untergrunds“ 
herangezogen wird. Wenn Verfassungs- 
schutz und Polizei zehn Jahre lang zahl- 
reiche Morde aus Gründen nicht aufklä- 
ren können, die noch zu beleuchten sein 
werden, dann hätte eine sechsmonatige 
Speicherung von Telekommunikations- 
verkehrsdaten nichts genutzt. Wenn aber 
die Vorratsspeicherung solcher Daten 
generell als Mittel zur Reparatur von 
Versäumnissen der Sicherheitsbehörden 
in einer wie lange auch immer zurück- 
liegenden Vergangenheit herhalten sol- 
len, dann müssten alle Verkehrsdaten 
unbefristet gespeichert werden. Noch 
ist ein solcher Vorschlag nicht gemacht 
worden. 

Schließlich hat auch die Europäische 
Kommission selbst offenbar mittlerwei- 
le Zweifel, ob die Vorratsspeicherung 
zwingend notwendig ist. Im Rahmen 
der laufenden Konsultation zur Reform 
der Vorratsdaten-Richtlinie hat sie in 
ihrem Bericht vom Dezember 2011 
festgestellt, dass es nach wie vor 
kaum belastbare Nachweise für die 
Notwendigkeit der Vorratsspeicherung 
gibt. Die Mitgliedstaaten würden ledig- 
lich die Wichtigkeit dieser Daten ver- 
bal betonen, ohne Alternativen wie das 
Quick-Freeze-Verfahren zu prüfen. 
Nur 11 von 27 Mitgliedstaaten hätten 
Daten geliefert, die einen Mehrwert der 
Vorratsdatenspeicherung _nahelegten. 
Auch sei unklar, ob Verkehrsdaten nicht 
auch ohne Pflicht zur Bevorratung in 
ausreichendem Umfang vorhanden sei- 
en. Zuletzt gab es auch in Deutschland 
Hinweise darauf, dass Netzbetreiber 
schon gegenwärtig Verkehrsdaten länger 
vorhalten als für Abrechnungszwecke 
erforderlich. Dem geht gegenwär- 
tig die Bundesnetzagentur nach. Die 
Kommission kritisiert, dass es keine 
Übersicht darüber gebe, welchen Effekt 
genutzte Verkehrsdaten in Ermittlungen 
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und Verfahren gehabt hätten. Der 
Katalog der Straftaten werde in den 
Mitgliedstaaten uneinheitlich umgesetzt 
und es gebe bereits Forderungen, die 
Vorratsdaten auch zur Verfolgung von 
Urheberrechtsverstößen nutzbar zu ma- 
chen. 

Die deutschen Sicherheitsbehörden 
(hier: das Bundeskriminalamt) haben 
in einer Auflistung der Beispielsfälle, 
in denen Mindestspeicherfristen not- 
wendig wären, auch Trickbetrügereien 
am Telefon genannt. Hier wird die 
Gefahr der schleichenden Zweckent- 
fremdung, des function creep, deut- 
lich. Diese Gefahr ist — wie der neueste 
Kommissionsbericht belegt — nicht ge- 
bannt. Der ursprüngliche Anlass für den 
europäischen Gesetzgeber, nämlich ter- 
roristische Anschläge, gerät damit eben- 
so aus dem Blick wie die Aussage des 
Bundesverfassungsgerichts, das eine 
Zweckentfremdung der Vorratsdaten 
ausschließen wollte. Aber selbst das 
Verfassungsgericht hat die Nutzung 
von auf Vorrat gespeicherten IP- 
Adressen zur Verfolgung gewichtiger 
Ordnungswidrigkeiten für verfassungs- 
konform gehalten. 

Die EU-Kommission hat angekündigt, 
bis Juli 2012 einen Vorschlag für eine 
geänderte Vorratsdaten-Richtlinie 
vorzulegen, der auch grundrechtsscho- 
nendere Alternativen berücksichtigen 
soll. Ich halte es für unwahrschein- 
lich, dass die Kommission vor diesem 
Zeitpunkt gegen die Mitgliedstaaten 
Sanktionen beantragen wird, die die alte 
Richtlinie noch nicht umgesetzt haben. 
Es würde dem Rechtsgrundsatz des ve- 
nire contra factum proprium widerspre- 
chen. 

Diese Feststellungen zeigen aber zu- 
gleich, dass die gegenwärtige Richt- 
linie nicht die engen Voraussetzungen 
der Europäischen Menschenrechts- 
konvention für Eingriffe in das Kom- 
munikationsgeheimnis erfüllt: die an- 
lassunabhängige Speicherung der 
Verkehrsdaten ist nicht zwingend er- 
forderlich in einer demokratischen Ge- 
sellschaft. 

Deshalb ist die Bundesregierung gut 
beraten, keinen Vorschlag zur Um- 
setzung der nicht grundrechtskonformen 
Vorratsdaten-Richtlinie zu machen, zu- 
mindest aber den Vorschlag der Kom- 
mission für eine geänderte Richtlinie ab- 
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zuwarten. Diese Auffassung wird auch 
durch eine Entscheidung des EGMR 
aus dem Jahr 2008 gestützt. Darin hat 
der Gerichtshof die Befugnis briti- 
scher Behörden beanstandet, pauschal 
und unterschiedslos Fingerabdrücke, 
Zellproben und DNA-Profile von ver- 
dächtigen, aber noch keiner Straftat 
schuldig gesprochenen Personen auf- 
zubewahren. Wenn eine solche undiffe- 
renzierte Befugnis zur Sammlung von 
Daten schon bei verdächtigen Personen 
der Menschenrechtskonvention  wi- 
derspricht, gilt dies erst recht bei 
Telekommunikationsteilnehmern, die in 
der großen Mehrzahl unverdächtig sind. 


Neue Sicherheitsrisiken durch 
Vorratsspeicherung 


Die Vorratsdatenspeicherung wider- 
spricht aber nicht nur europäischen 
Grundrechtsstandards, sie führt auch zu 
neuen Sicherheitsrisiken. In der münd- 
lichen Verhandlung zur Vorratsdaten- 
speicherung beim Bundesverfassungs- 
gericht hat der zu früh verstorbene 
Andreas Pfitzmann dies anschaulich ver- 
deutlich, indem er eine daumenna- 
gelgroße Micro-SD-Speicherkarte 
im Wasserglas des anwesenden BKA- 
Präsidenten versenkte. Er wollte da- 
mit dem Gericht verdeutlichen, dass die 
bei der Vorratsspeicherung entstehen- 
den riesigen Mengen an Verkehrsdaten 
sich auch mit noch so großem Aufwand 
nicht zuverlässig gegen unberechtig- 
te Zugriffe sichern lassen. Ein Insider 
kann große Mengen solcher Daten auf 
kleine Speichermedien kopieren, um 
sie zu verschlucken und unerkannt aus 
Rechenzentrum eines Providers heraus- 
bringen.SolcheSpeichermediensindnicht 
nur wasserfest, sondern auch unempfind- 
lich gegen Magensäure. Dieses Beispiel 
mag skurril anmuten, aber es illustriert, 
dass eine Verpflichtung zur Speicherung 
sämtlicher Verkehrsdaten für einen be- 
stimmten Zeitraum unkontrollierbare 
Risiken für die Datensicherheit aus- 
lösen würde, die bisher nicht bestanden. 
Während der Sicherheitsgewinn durch 
Vorratsspeicherung mehr als zweifelhaft 
ist, müssen solche Risiken ernst genom- 
men werden. Denn nicht jeder Hacker 
hat so ehrenwerte Motive wie der Chaos 
Computer Club bei der Enttarnung des 
Staatstrojaners. 


Ich will noch auf eine andere, wei- 
tergehende Gefahr hinweisen, die die 
Vorratsdatenspeicherung birgt: Wenn 
auf Anweisung des Staates sämtliche 
Verkehrsdaten zur Telekommunikation 
jedes Menschen für einen bestimm- 
ten Zeitraum (ganz gleich wie lang) auf 
Vorrat gespeichert wird, um terroristi- 
sche oder andere Straftaten besser be- 
kämpfen zu können, dann wird in der 
Bevölkerung die Illusion genährt, jetzt 
vor solchen Straftaten endgültig sicher 
zu sein. In dem wahrscheinlichen Fall, 
dass diese Erwartung enttäuscht wirdund 
auch durch die Vorratsdatenspeicherung 
Terroranschläge nicht verhindert wer- 
den können (z.B. weil die Sicher- 
heitsbehörden in dem Heuhaufen von 
Millionen Verkehrsdatensätzen den 
entscheidenden Hinweis, die „Nadel“ 
nicht rechtzeitig finden, dann droht 
eine tiefe Legitimationskrise der 
Sicherheitsbehörden und des Staates ins- 
gesamt, weil die Menschen wissen wol- 
len, warum die Vorratsdatenspeicherung, 
die so lange als Wunderwaffe angeprie- 
sen wurde, nicht genützt hat. 


Überwachungsgesamtrechnung 


Schließlich ist an eine Schlüssel- 
passage in dem Urteil des Bundes- 
verfassungsgerichts vom 2. März 2010 
zu erinnern, in der das Gericht wörtlich 
ausführt: 

„Die Einführung der Telekommuni- 
kationsverkehrsdatenspeicherung kann 
damit nicht als Vorbild für die Schaffung 
weiterer vorsorglich anlassloser Daten- 
sammlungen dienen, sondern zwingt 
den Gesetzgeber bei der Erwägung neu- 
er Speicherungspflichten oder — berech- 
tigungen im Blick auf die Gesamtheit 
der verschiedenen schon vorhande- 
nen Datensammlungen zu größerer 
Zurückhaltung. Dass die Freiheitswahr- 
nehmung der Bürger nichttotalerfasst 
undregistriert werden darf, gehörtzur 
verfassungsrechtlichen Identität der 
Bundesrepublik Deutschland, für de- 
ren Wahrung sich die Bundesrepublik 
in europäischen und internationalen 
Zusammenhängen einsetzen muss. 
Durch eine vorsorgliche Speicherung 
der Telekommunikationsverkehrsdaten 
wird der Spielraum für weitere anlas- 
slose Datensammlungen auch über den 


17 


Weg der Europäischen Union erheblich 
geringer (Rz. 218).“ 

Mit dem Topos der „Überwachungs- 
gesamtrechnung“ hat das Bundesver- 
fassungsgericht eine rote Linie formu- 
liert, ohne allerdings genau zu sagen, 
wann sie überschritten wird. Zweierlei 
wird man aber sagen können: 

Zum einen muss sich die Bundes- 
regierung, wenn sie die bisherige Vor- 
ratsdatenrichtlinie in nationales Recht 
umsetzen wollte, auch auf europäischer 
Ebene gegen weitere Vorhaben zur 
anlassunabhängigen Datenspeicherung 
aussprechen. Es reicht deshalb nicht 
aus, dass der Bundesinnenminister sich 
im Europäischen Rat der Stimme ent- 
hält, wenn über den Vorschlag der 
Kommission über eine Speicherung und 
Übermittlung von Fluggastdaten auf 
Vorrat in die USA abgestimmt wird. Er 
war verfassungsrechtlich verpflichtet, 
gegen eine solche Maßnahme zu stim- 


Thilo Weichert 


men. Ob dieser Vorschlag die notwen- 
dige Zustimmung des Europäischen 
Parlaments finden wird, ist gegenwärtig 
offen. 

Zum anderen gilt: Wenn der europä- 
ische Gesetzgeber die Fluggastdaten- 
speicherung anordnet, ohne im Bereich 
der Telekommunikationsverkehrsdaten 
den Mitgliedstaaten mehr Spielraum 
(z.B. für Quick Freeze) zu eröff- 
nen, dann spätestens ist die rote 
Linie endgültig überschritten, die das 
Bundesverfassungsgericht beschrieben 
hat. Aber selbst wenn das Europäische 
Parlament, was zu wünschen wäre, 
der Fluggastdatenspeicherung eine 
Absage erteilen würde, muss auch die 
anlassunabhängige Speicherung von 
Telekommunikationsverkehrsdaten un- 
terbleiben. Ein Kompensationsgeschäft 
darf es nicht geben. 

Der frühere, für Inneres und Justiz 
zuständige EU-Kommissar Frattini 


(später Außenminister im Kabinett 
Berlusconi) sagte in einem Interview 
2008, er sei „verrückt nach Sicherheit.“ 
Ich hoffe sehr, dass sowohl auf eu- 
ropäischer wie auch auf deutscher 
Ebene jetzt wieder Besonnenheit und 
Augenmaß Einzug halten, wenn es 
um die Balance zwischen Freiheit und 
Sicherheit geht. 


jan 


Überarbeitete Fassung des beim 
6. Europäischen Datenschutztag 
am 27.1.2012 in Berlin ge- 
haltenen Impulsreferats 


2 Vgl. http://heise.de/newsticker/mel- 
dung/Vorratsdatenspeicherung- 
vs-Grundrechte-1424117.html 


3 Das ergibt sich auch aus dem Gutachten 
des Max-Planck-Instituts für auslän- 
disches und internationales Strafrecht 
„Keine Schutzlücken durch Wegfall der 
Vorratsdatenspeicherung“ v. 27.1.2012 


4 Der Spiegel 11/2008 v. 10.3.2008 


Verantwortlichkeit für Facebook-Fanpages 


Zugleich eine parteiische Besprechung von Schulz/Schliesky (Hrsg.), Transparenz, Partizipation, Kollaboration — Web 2.0 für 


die öffentliche Verwaltung, 2012. 


l. Verzweiflung 


Für jemanden, für den Datenschutz, 
demokratische Verantwortlichkeit und 
Rechtsstaatlichkeit ein Anliegen ist, 
ist die Situation fast zum Verzweifeln: 
Da verstößt der US-Anbieter des welt- 
weit größten Sozialen Netzwerks ge- 
gen gesetzliche Regelungen des euro- 
päischen und deutschen Datenschutzes, 
und es scheint gegen dessen Nutzung in 
Deutschland kein rechtliches Kraut ge- 
wachsen zu sein. Wir reden hier über 
Facebook und die Nutzung von seinen 
Fanpages sowie Social Plugins wie z. 
B. dem „Gefällt mir“-Button. Facebook 
ist exemplarisch für die Verzweiflung; 
viele andere Anbieter, allen voran 
Google+, sind nicht viel besser; deut- 
sche Anbieter, die sich bemühen, die 
Datenschutzbestimmungen zu beachten, 
werden vom Markt verdrängt. 
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II. Politisch-wirtschaftliche 
Erwägungen 


Diese Verzweiflung wird dadurch 
gesteigert, dass fast alle politischen 
Kräfte gegen diesen massiven fortge- 
setzten Rechtsverstoß nichts unterneh- 
men und dass private Anbieter in reali- 
stischer Abwägung der Möglichkeiten 
und Risiken von der Nutzung dieser 
Fanpages und Social Plugins nicht ablas- 
sen'. Dass viele politische Kräfte nichts 
unternehmen, mag dem Umstand zuzu- 
schreiben sein, dass viele der Menschen, 
Parteien und Organisationen in der 
Politik zwecks potenziellen Erreichens 
einer jugendlichen Wählerschaft sol- 
che Fanpages selbst betreiben. Dass 
private Anbieter selbst in Schleswig- 
Holstein sich bei der Nutzung von 
Facebook, Google+ & Co. recht ent- 
spannt zurücklehnen, ist der realisti- 


schen Einschätzung zuzuschreiben, dass 
das ULD noch etwas anderes zu tun hat, 
als hunderte Untersagungsverfügungen 
zu versenden’. Dies wird auch von den 
Regierungsfraktionen des Landes kom- 
muniziert in der wohl irrigen Annahme, 
damit den Wirtschaftsstandort zwischen 
den Meeren zu verteidigen’. 

Nicht nur die Parlamentarier einiger 
Parteien verhalten sich abweisend ge- 
genüber dem ULD-Vorgehen gegen die 
Facebook-Nutzung. Die Unwilligkeit, 
Datenschutzregeln zu beachten wird 
dadurch gefördert, dass die eigene 
Industrie- und Handelskammer (IHK) 
und der eigene Ministerpräsident selbst 
den Rechtsverstoß begehen. Nun wer- 
den keine IHK und kein deutscher 
Ministerpräsident öffentlich und expli- 
zit zum Rechtsverstoß aufrufen oder 
ermuntern. Sie wollen auch nicht als 
schlechtes Beispiel und Vorbild vor- 
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angehen. Deshalb wird eine — bis- 
her eher unjuristisch vorgetragene — 
Argumentation präsentiert, die letztlich 
diesen Rechtsverstoß decken soll: Dass 
der US-Anbieter gegen deutsches Recht 
verstößt, ist zwar evident, doch wäre es 
vermessen, von einem globalen Player 
zu erwarten, dass er schleswig-holstei- 
nisches Recht beachtet (selbst wenn er 
Daten von Schleswig-Holsteinern ver- 
arbeitet). Weiter wird vorgetragen: Wir 
sind nicht für das verantwortlich, was 
der US-Anbieter macht, wir nutzen nur 
dessen Angebot. Und letztlich: Dass wir 
das Angebot nutzen, kann uns niemand 
vorwerfen, machen es doch viele ande- 
re auch. Besser noch: Das Verbieten des 
Nutzens eines illegalen Angebots wäre 
— und das ist in einer Marktwirtschaft 
ein schwerwiegender Vorwurf — eine 
Wettbewerbsverzerrung. 


III. Die juristische Argumentation 


Die Diskussion um Facebook in 
Schleswig-Holstein bringt uns eine 
juristische Überhöhung dieser wirt- 
schaftlich-politischen Argumente. Das 
Glanzstück liefert insofern jetzt das 
Lorenz-von-Stein-Institut der Christian- 
Albrechts-Universität zu Kiel (CAU) 
mit seinem neuen Buch „Transparenz, 
Partizipation, Kollaboration — Web 2.0 
für die öffentliche Verwaltung‘“. In einer 
gemeinsamen Medieninformation der 
CAU mit der IHK zu Kiel wird darin 
unter der Überschrift „Bahn frei für Web 
2.0 in Schleswig-Holstein“ geworben u. 
a. mit folgenden Zitaten: „Damit widerle- 
gen wir die Auffassung des Unabhängigen 
Landeszentrums für Datenschutz, wo- 
nach der Betrieb so genannter Fanpages 
gegen deutsches Datenschutzrecht ver- 
stößt“ und „Ein wichtiges Signal für 
Unternehmen in Schleswig-Holstein: Es 
geht eben doch“. 

Ich habe das Lorenz-von-Stein- 
Institut bisher immer als eine juristisch 
seriös argumentierende Einrichtung an- 
gesehen. Dass der Klappentext für das 
neue Buch allzu sehr im Interesse des 
Kooperationspartners IHK ausfällt, 
muss wohl als medialer Ausrutscher hin- 
genommen werden. Der Blick ins Buch 
selbst offenbart, dass die Autoren dem 
ULD - in vieler Hinsicht vielleicht un- 
freiwillig — Recht geben und nur mit ei- 
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nigen rechtlichen Verrenkungen zum ge- 
wünschten Ergebnis kommen. 

Die Hauptargumentation von Face- 
book ist, dass die Mitglieder mit ih- 
rer Teilnahme der Datenverarbeitung 
des Unternehmens in den USA zuge- 
stimmt hätten. Die Autoren meinen nun, 
dass diese Einwilligung den „deutschen 
Datenschutzvorschriften nicht gänzlich 
genügen mag“ (S. 189), so als gäbe es 
im Recht die Kategorie „nur ein bisschen 
unzulässig“. Dass bei dem Facebook- 
Angebot gegen Telemedienrecht versto- 
ßen wird, wird zwar nicht ausführlich 
geprüft, aber stillschweigend konzediert 
(S. 180 £.). 


IV. Krude Verantwortungsethik 


Der Versuch, die Verantwortung für 
die illegale Datenverarbeitung von 
Facebook abzustreifen, erfolgt über 
mehrere Schritte. Zunächst wird korrekt 
bestätigt, dass der Fanpage-Betreiber 
telemedienrechtlich für sein Tun ver- 
antwortlich ist. Dies könne auf den 
Datenschutz nicht voll übertragen wer- 
den, denn: Erkann,„lediglichentscheiden, 
einen Facebook-Account zu eröffnen, 
um hierüber eine Fanseite zu erstellen, 


oder dies zu unterlassen. Weitergehende 
Entscheidungsmöglichkeiten hat er 
nicht“ (S. 182). Entsprechend könn- 
te man auch argumentieren: Mache ich 
mich also zum Komplize eines bösen 
Buben und kann ich den bösen Buben 
von seinem bösen Tun nicht abbringen, 
dann kann ich Komplize bleiben und 
meine Hände in Unschuld waschen. 

Es kommt noch besser nach dem 
Motto: Wir haben von all dem nichts 
gewusst: „Des Weiteren wird dem 
Fanseiten-Betreiber das Ausmaß und 
der Umfang der Datenerhebung und 
-verarbeitung nur unzureichend bekannt 
sein“ (S. 182). „Der Fanseiten-Betreiber 
weiß grundsätzlich nur so viel über die 
Datenerhebung, wie Facebook ihm of- 
fenbart“ (S. 184). Zwar dürften die aus- 
führlichen Geschäftsbedingungen von 
Facebook den Betreibern zugänglich 
sein; auch die umfassenden Analysen 
der Datenschutzbehörden und des ULD 
dürften zumindest den Behörden und 
größeren kommerziellen Anbietern in 
Schleswig-Holstein bekannt sein. Statt 
nun die Finger vom Unbekannten zu las- 
sen, erklärt man sich bei dessen Nutzung 
einfach für unverantwortlich. Dies 
ist nicht nur rechtlich falsch, sondern 
Ausdruck einer in letzter Konsequenz 
grausamen Verantwortungsethik. 

Es wird noch besser: Schuld sind ei- 
gentlich die Nutzer: „Letztlich haben 
sich alle Nutzer freiwillig angemeldet 
und tolerieren daher die Datenerhebung 
von Facebook. ... Dieser Einwilligung 

muss zumindest eine gewisse 
Teillegitimation, wenn auch nicht zwin- 
gend gegenüber Facebook, dann jedoch 
gegenüber den ebenfalls bei Facebook 
präsenten Öffentlichen und nichtöffentli- 
chen Stellen zukommen“ (S. 189). Also: 
Die schlecht informierten Betreiber sind 
nicht verantwortlich, wohl aber - die in 
der Regel noch schlechter informierten 
— Nutzer. Ob das so richtig sein kann? 


V. Verhältnismäßigkeit statt 
Gesetzesvorbehalt 


Die Autoren bestreiten nicht, „dass 
personenbezogene Daten durch 
Facebook (am Maßstab deutschen 
Datenschutzrechts gemessen in unzu- 
lässiger Weise) erhoben und verarbeitet 
werden“ (S. 187). Geleugnet wird auch 
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nicht die „Rechtsbindung der deutschen 
Verwaltung aus Art. 20 Abs. 3 GG und 
der Schutzverpflichtung gegenüber den 
Persönlichkeitsrechten der Nutzer“ (S. 
187). Doch dann behaupten sie, „man- 
gels gesetzlicher Regelungen“ (S. 187) 
müsse eine „Abwägung von Risiko und 
Nutzen“ (S. 188) erfolgen. Es gäbe auf 
dieser Ebene „keine ‚Schwarz-Weiß- 
Sicht bzw. -Lösung‘ (im Sinne des ULD 
und eine(vermeintlich)klareRechtslage“ 
(S. 187). Dies verwundert, haben wir 
doch in Deutschland und Europa ein 
umfassendes Datenschutzrecht. Doch 
gibt es eine Erklärung: „Das deutsche 
Datenschutzrecht ist ... nicht auf derar- 
tige neue Technologien ausgerichtet und 
wird so der Funktionsweise des Internet 
nicht mehr gerecht“ (S. 189). Auch wenn 
das zutrifft, so sollte man sich die beste- 
henden geltenden Regelungen doch ge- 
nauer anschauen und nicht gleich das 
ganze Recht über Bord werfen. 

Hat sich die Argumentation derart von 
einer Gesetzesbindung gelöst, muss nur 
noch abgewogen werden: „Der immen- 
se Nutzen, den eine Facebook-Fanseite 
hat, darf jedoch nicht außer Betracht 
gelassen werden. Facebook ist das welt- 
größte Internetnetzwerk und bietet des- 
halb eine sehr große „Community“ ... 
Durch eine Facebook-Präsenz können 
daher (mit geringem Aufwand) mehr 
Menschen erreicht werden als mit ei- 
ner herkömmlichen Internetpräsenz“ 
(S. 188). „Gerade jüngere Generationen 
(‚Digital Natives‘) nutzen Facebook na- 
hezu flächendeckend und regelmäßig, 
sodass diese Gruppe über Facebook be- 
sonders angesprochen werden kann“ 
(S. 189). Erstaunlich ist, dass von den 
Autoren die Datenschutzverstöße von 
Facebook nicht explizit benannt, ge- 
schweige denn analysiert werden, so 
dass auch die Risiken für die Betroffenen 
nicht seriös abgewogen werden kön- 
nen. Vielmehr wird die Relevanz der 
Facebook-Präsenz _heruntergespielt: 
„Hinzuweisen ist zudem darauf, dass 
es sich bei der Öffentlichkeits- und 
Informationstätigkeit überwiegend um 
eine ‚freiwillige‘ Aufgabe der öffent- 
lichen Verwaltung handelt — mit der 
Folge, dass die Verlagerung auf andere 
Medien weitaus unkritischer sein dürf- 
te als z. B. ausschließlich elektronisch 
durchführbare Verwaltungsverfahren“ 
(S. 190). 
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VI. Wie geht es weiter? 


Eine Alternative zur Nutzung von 
Facebook, Google+ & Co. wird von den 
Autoren benannt: „So wäre der Staat ge- 
zwungen, eigene ‚nationale‘ Tools auf- 
zubauen oder zu subventionieren‘“ (S. 
185). Aber das ist nicht deren Ziel. Wohl 
muss Folgendes gelten: Bei allen infor- 
mationstechnischen Systemen, die staat- 
liche Stellen einsetzen, müssen diese 
kontrollieren und nachvollziehen kön- 
nen, dass das Datenschutzrecht einge- 
halten wird. 

Die Autoren erweisen ihren Auf- 
traggebern einen Bärendienst und tun 
dem Datenschutz unfreiwillig einen 
Gefallen, indem sie ihre eigenen recht- 
lichen Argumente ad absurdum füh- 
ren, so dass sich die Richtigkeit der 
Argumente der Datenschutzbehörden 
aufdrängt. Jedenfalls kann von einem 
„Widerlegen“ der Auffassung des ULD 
keine Rede sein. 

Zu hoffen ist nun auf das von den 
Staatskanzleien der Länder in Auftrag 
gegebene und schon für den Dezember 
2011 angekündigte Gutachten der Innen- 
ministerkonferenz. Nach Mitteilung des 
Landesinnenministeriums im Innen- 
und Rechtsausschuss des Schleswig- 
Holsteinischen Landtags am 15.02.2012 
liegt ein Entwurf dieses Gutachtens 
vor und wird hoffentlich — nach einer 
Abstimmung zwischen den Ländern — 
zeitnah veröffentlicht. Zu hoffen ist wei- 
terhin, dass dieses Gutachten zum glei- 
chen Ergebnis kommt wie sämtliche 
Datenschutzbeauftragtendes Bundes und 
der Länder, die die Position des ULD be- 
stätigten®. Sollte dies nicht der Fall sein, 
so besteht noch die Hoffnung auf die 
Verwaltungsgerichtsbarkeit. Inzwischen 
liegen zwei Anfechtungsklagen gegen 
Untersagungsverfügungen des ULD 
vor, eine davon der Wirtschaftsakademie 
der IHK; leider liegen dem ULD bis 
heute keine Klagebegründungen vor. 
Da der mehrstufige Instanzenzug im 
Verwaltungsrechtsweg lange dauern 
kann, ist eine endgültige verbindli- 
che Entscheidung aber auch hier nicht 
schnell zu erwarten. 

Also: Die Verzweiflung hält wei- 
ter an. Doch: Die Diskussion geht in 
die nächsten Runden. Die europä- 
ischen Datenschutzbehörden befassen 
sich intensiv mit den Themen. Und die 


Europäische Kommission hat mit ih- 
rem Vorschlag für eine „Datenschutz- 
Grundordnung“ vom 25.01.2012 den 
Grundstein für ein einheitliches Daten- 
schutzrecht in Europa gelegt, das 
den technischen Gegebenheiten des 
Internet und von Sozialen Netzwerken 
besser gerecht wird’. Wäre diese 
Grundverordnung schon in Kraft, so 
gäbe es wirksame Instrumente zum 
Datenschutz bei Sozialen Netzwerken; 
die Rechtswidrigkeit der Angebote von 
Facebook, Google+ & Co. könnte auch 
durch Stellen in Schleswig-Holstein 
nicht mehr bestritten werden. 


jan 


Es muss ausdrücklich darauf hingewiesen 
werden, dass die Landesverbände sowohl 
von Bündnis 90/Die Grünen als auch der 
Piratenpartei aus Datenschutzgründen 
keine Facebook-Fanpage betreiben, vgl. 
Wacker, http://landesblog.de/2012/01/ 
grune-werden-mit-facebook-nicht-grun- 
facebook-fanpage-soll-geloscht-werden/. 


2 Presseerklärung des ULD vom 
09.12.2011, https://www.datenschutz- 
zentrum.de/presse/20111209-face- 
book-duesseldorfer-kreis.htm. 


3 Gemeinsame Pressemitteilung CDU- 
und FDP-Landtagsfraktion vom 
06.12.2012, http://www.ltsh.de/ 
presseticker/20 11-12/06/16-04-59-792b/. 


4 Hrsg. Utz Schliesky/Sönke Schulz, 
ISBN 978-3-936-773-71-2, 39,00 Euro. 


5 Presseinformation 47/2012 der CAU vom 
20.02.2012, http://www.uni-kiel.de/aktu- 
ell/pm/2012/2012-047-web20-buch.shtml. 


6 Beschluss der obersten Aufsichtsbehörden 
für den Datenschutz im nicht-öffentli- 
chen Bereich (Düsseldorfer Kreis) vom 
08. Dezember 2011, https://www.daten- 
schutzzentrum.de/internet/20111208- 
DK-B-Soziale-Netzwerke.html. 


7 Europäische Kommission vom 
25.01.2012, KOM(2012)9 endgül- 
tig, Der Schutz der Privatsphäre 
in einer vernetzten Welt — Ein eu- 
ropäischer Datenschutzrahmen 
für das 21. Jahrhundert. 
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Datenschutznachrichten 


Datenschutznachrichten aus Deutschland 


Bund 


Hunderttausendfache 
Nutzung von „stiller SMS“ 


Polizei, Zoll und Verfassungsschutz 
lokalisieren Verdächtige per „stiller 
SMS“. Die technischen Möglichkeiten 
von Handys und Smartphones bieten 
nicht nur den Nutzenden Vorteile, son- 
dern erlauben es Sicherheitsbehörden, 
die Besitzenden zu orten, ohne dass die- 
se etwas davon bemerken. Mit „stillen 
SMS“ können diese herausfinden, in 
welcher Funkzelle bzw. zwischen wel- 
chen Funkzellen sich ein Mobiltelefon 
gerade befindet. Bei der „stillen SMS“ 
wird ein Signal an das Handy der 
Zielperson gesendet, das dort keine für 
den Benutzenden sicht- oder hörbare 
Reaktion auslöst. Das Handy nimmt da- 
bei mit der nächsten Funkzelle Kontakt 
auf, so dass der Netzbetreiber den un- 
gefähren Standort erfährt, die sich die 
Sicherheitsbehörde dann vom Provider 
mitteilen lässt. Es handelt sich also um 
eine Kurznachricht ohne Inhalt und mit 
einem Steuerbefehl, der dafür sorgt, 
dass auf dem Handy weder etwas an- 
gezeigt wird noch für den Betroffenen 
ein erkennbares Signal ausgegeben 
wird. Nur wenn das Handy z. B. ne- 
ben einem eingeschalteten Lautsprecher 
liegt, könnte der Überwachte durch ein 
erkennbares Störgeräusch Verdacht 
schöpfen. Die Daten, die das Handy zu- 
rückmeldet, laufen bei den Betreibern 
der Mobilfunknetze auf und werden in 
den meisten Fällen über eine gesicher- 
te Datenleitung direkt an die Ermittler 
weitergeleitet. Manchmal erfolgt die 
Datenweitergabe auf einem Datenträger 
oder per Fax. Der Radius einer Funkzelle 
beträgt je nach Technik, Landschaft 
und Bevölkerungsdichte etwa hun- 
dert Meter bis einige Kilometer. Die 
Polizei nutzt „stille SMS“ regelmäßig, 
um Verdächtige, deren Handynummer 
sie kennt, aufzufinden und festzuneh- 
men. Beim Verfassungsschutz werden 
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mit diesem Trick Bewegungsbilder ei- 
ner Person erstellt oder Observationen 
unterstützt. 

Der Bundestagsabgeordnete Andrej 
Hunko von der Fraktion Linke woll- 
te von der Bundesregierung genau wis- 
sen, wie oft ihre Sicherheitsbehörden 
„stille SMS“ an Verdächtige senden. 
Gemäß der Antwort verschickte im Jahr 
2010 das Bundeskriminalamt (BKA) 
96.314 „stille SMS“, das Bundesamt 
für Verfassungsschutz (BfV) 107.852 
und die Zollfahndungsbehörden sogar 
236.617.BundespolizeiundMilitärischer 
Abschirmdienst haben angeblich kei- 
ne Statistik. Von 2006 bis 2011 waren 
es beim BKA mehr als 355.000 SMS, 
beim BfV knapp 400.000 und beim 
Zoll mehr als 950.000. Eine besonde- 
re Zunahme erfolgte im Jahr 2011 beim 
Zoll: Dessen Fahndungsbehörden haben 
in der ersten Hälfte 2011 mit 227.587 
Ortungsnachrichten bereits fast so vie- 
le stille SMS versandt wie im gesamten 
Vorjahr. Dazu kommen noch die Zahlen 
aus den Ländern. Bekannt sind diese aus 
Nordrhein-Westfalen, wo sie die Linken- 
Abgeordnete Anna Conrads jüngst abge- 
fragt hat. Im Jahr 2010 hat die Polizei 
dort 255.874 „Ortungsimpulse‘ (so der 
Polizei-Jargon für „stille SMS“) abge- 
sandt. Die Zahl der betroffenen Handys 
liegt aber deutlich niedriger. In NRW 
waren in 778 Ermittlungsverfahren 
2.644 Mobiltelefone betroffen. Das 
heißt, pro Mobiltelefon verschickte die 
Polizei im Schnitt rund 100 „stille SMS“ 
(s. u. S. 25). Beim BfV waren pro Jahr 
90-150 Mobiltelefone betroffen, wie ein 
Sprecher auf eine Presseanfrage mitteil- 
te. Wenige Handys wurden also beson- 
ders intensiv überwacht. 

Bekannt wurde der Einsatz von 
„stillen SMS“ durch die Polizei erst- 
mals 2003 in Berlin (DANA 2/2003, 
15; 3/2003, 15 f£.; 4/2003, 11 f). In der 
Folge gab es einige wissenschaftliche 
Aufsätze, die die Ermittlungsmethode 
mangels Rechtsgrundlage für unzuläs- 
sig erklärten. Entsprechende Gerichts- 


urteile sind nicht bekannt. Seit 2008 
gibt es eine gesetzliche Regelung. Die 
große Koalition regelte in der so ge- 
nannten „TKÜ-Novelle“ die heimli- 
chen Ermittlungsmaßnahmen in der 
Strafprozessordnung neu. Dabei wur- 
de der Polizei unter anderem erlaubt, 
dass sie beim Mobilfunkprovider nicht 
nur „Verbindungsdaten“, sondern auch 
„Verkehrsdaten“ verlangen darf. Sie 
muss nun nicht darauf warten, bis der 
Verdächtige telefoniert oder mittels „stil- 
ler SMS“ in eine Verbindung getrickst 
wird, sondern sie kann schon die Daten 
der regelmäßigen Kontaktaufnahme des 
Handys mit dem Netzbetreiber abfra- 
gen. In der Begründung zur Neufassung 
von Paragraph 100g hieß es: „Die 
Neuregelung kann die - rechtlich umstrit- 
tene - Übersendung einer ‚stillen SMS‘ 
entbehrlich machen“. Dieser Paragraph 
wird auch für die Funkzellenabfrage 
herangezogen, die im Februar 2011 
in Dresden massenhaft genutzt wurde 
(DANA 3/2011, 119 ff.). Nach Ansicht 
von Constanze Kurz vom Chaos 
Computer Club ist die Rechtslage un- 
klar: „Ein Handy ist eine Ortungswanze, 
das müsste gesetzlich beschränkt wer- 
den. Es ist ausgeufert“. 

Die aktuellen Zahlen zeigen, dass die 
„stille SMS“ aus Sicht der Polizei un- 
entbehrlich geworden ist. Sie bringt ge- 
nauere Daten als die Kommunikation 
von Basisstation und Handy. Dort wird 
die Location Area des Handys bekannt, 
also der Zusammenschluss mehrerer 
Funkzellen; die Kontaktaufnahme er- 
folgt in der Regel nur einmal am Tag. 
Dagegen verrät ein Kontakt per „stil- 
ler SMS“ die konkrete Funkzelle. Und 
je nach Ermittlungsziel können die 
Behörden sogar alle paar Minuten einen 
neuen Ortungsimpuls senden. Als eigen- 
ständige Maßnahme geregelt ist die „stil- 
le SMS“ heute immer noch nicht. Das 
Problem dürfte nach der Neuregelung 
zwar nicht mehr die Herausgabe der 
Standortdaten sein. Fraglich bleibt, ob 
die Polizei einem Verdächtigen ohne 
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Rechtsgrundlage „stille SMS“ schik- 
ken darf. Polizeinahe JuristInnen ver- 
weisen darauf, dass die Ermittler einen 
Verdächtigen ja auch zum Schein an- 
rufen dürfen, um seine Anwesenheit zu 
Hause zu kontrollieren. Der Vergleich 
hinkt jedoch insofern, dass ein solcher 
Anruf für den Betroffenen hörbar ist, 
während die „stille SMS“ heimlich er- 
folgt und deshalb beliebig oft wiederholt 
werden kann, so dass eine ganz andere 
Überwachungsdichte möglich ist. 
Derzeit finden wohl alle polizeili- 
chen SMS-Ortungen im Rahmen ei- 
ner richterlich genehmigten Handy- 
Überwachung statt. Wenn bei Gefahr im 
Verzug zunächst die Staatsanwaltschaft 
entscheidet, muss das Gericht spätestens 
nach drei Tagen zustimmen. Der Einsatz 
durch den Verfassungsschutz erfolgt 
nur, wenn eine Handy-Überwachung im 
so genannten G-10-Kontrollgremium 
des Parlaments genehmigt wurde. Die 
Betroffenen werden gemäß der gesetzli- 
chen Regelung - nachträglich - zumeist 
über die Handy-Überwachung unterrich- 
tet. Der Einsatz von „stillen SMS“ wird 
dabei aber, so das BKA, nicht themati- 
siert. Dies ist wohl eine Erklärung dafür, 
warum es keine Klagen zur Zulässigkeit 
der Methode gibt. Die Betroffenen wis- 
sen einfach nichts davon. Aus Sicht 
des Justiz- und des Innenministeriums 
des Bundes besteht hinsichtlich der 
Verwendung dieser Methode kein politi- 
scher Handlungsbedarf. Eine Sprecherin 
des Bundesjustizministeriums mein- 
te: „Darüber müssen die Gerichte ent- 
scheiden.“ Wer sicher gehen will, dass 
er nicht per „stiller SMS“ geortet wer- 
den kann, muss nicht nur das Handy aus- 
schalten, sondern auch die SIM-Karte 
oder den Akku entfernen (Krempl www. 
heise.de 13.12.2011; Rath www.taz.de 
02.01.2012; Thieme www.fr-online.de 
03.01.2012; SZ 03.01.2012, 5; Martin- 
Jung SZ 05./06.01.2012, 20; vgl. die um- 
fassende Anfrage BT-Drs. 17/8257). 


Bund 


Visa-Warndatei wird auf- 
gebaut 
Das am 01.12.2011 vom Bundestag 


verabschiedete „Gesetz zur Errichtung 
einer Visa-Warndatei und zur Änderung 
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des Aufenthaltsgesetzes“ wurde am 
29.12.2011 im Bundesgesetzblatt ver- 
kündet. Es tritt am 01.06.2013 in 
Kraft. Nun beginnt die technische 
Umsetzung der Datei, die in erster Linie 
der Unterstützung der Visumbehörden 
im Visumverfahren und damit der 
Bekämpfung der illegalen Einreise die- 
nen soll. In der Datei gespeichert wer- 
den Visumantragstellende, Einladende, 
Verpflichtungsgebende und sonstige 
Referenzpersonen,diemitVerurteilungen 
wegen bestimmter Straftaten mit Bezug 
zum Visumverfahren oder mit son- 
stigem Auslandsbezug oder mit ganz 
speziellen sonstigen rechtswidrigen 
Verhaltensweisen wie insbesondere fal- 
schen Angaben im Visumverfahren 
aufgefallen sind. Darüber hinaus soll 
mit der Schaffung eines weiteren 
Datenabgleichsverfahrenssicherheitspo- 
litischen Interessen im Visumverfahren 
Rechnung getragen werden. Dazu wird 
beim Bundesverwaltungsamt (BVA) 
eine besondere Organisationseinheit er- 
richtet, bei der Daten aus dem Visum- 
verfahren mit bestimmten Daten aus 
der Antiterrordatei automatisiert abge- 
glichen werden. Durch den automati- 
sierten Abgleich soll eine Rückmeldung 
durch Sicherheitsbehörden an die 
Visumbehörden ermöglicht werden, 
wenn Personen aus dem terroristischen 
Umfeld beabsichtigen, nach Deutsch- 
land einzureisen (BGBl. I, S. 3037; 
Kurzmeldung Bundesministerium des 
Innern 12.01.2012; www.bmi.bund.de; 
vgl. DANA 4/2010, 149). 


Bund 


Elektronischer 
Aufenthaltstitel eingeführt 


Mit Datum vom 01.09.2011 waur- 
de in Deutschland der elektroni- 
sche Aufenthaltstitel (eAufenthaltsti- 
tel) als eigenständiges Dokument im 
Scheckkartenformat für Drittstaaten- 
angehörige, also für Staatsangehörige 
von Nicht-EU-Staaten, eingeführt. Er er- 
setzt damit den bisherigen Aufenthalts- 
titel als Klebeetikett im Pass bzw. 
Reisedokument. Damit werden die eu- 
ropäischen Vorgaben zur einheitli- 
chen Gestaltung des Aufenthaltstitels 
für Drittstaatenangehörige umgesetzt. 


Die einschlägigen EU-Verordnungen 
(EG Nr. 1030/2002 und 380/2008) 
verpflichten alle Mitgliedstaaten der 
Europäischen Union (EU), einen ein- 
heitlichen Aufenthaltstitel mit biometri- 
schen Merkmalen auszustellen. 

Der eAufenthaltstitel besitzt einen 
Chip im Karteninneren, auf dem die per- 
sönlichen Daten, ggfs. aufenthalts- bzw. 
erwerbstätigkeitsrechtliche Auflagen so- 
wie die biometrischen Merkmale, also 
Lichtbild und zwei Fingerabdrücke, ge- 
speichert sind. Die biometrischen Daten 
dürfen ausschließlich von hoheitlichen 
Stellen wie z. B. Ausländerbehörden 
oder der Polizei ausgelesen werden. Sie 
sollen vor Fälschungen und Missbrauch 
schützen und damit einen Beitrag zur 
Verhinderung und Bekämpfung der il- 
legalen Einwanderung und des illegalen 
Aufenthalts leisten. Die Karte ist tech- 
nisch mit dem neuen Personalausweis 
für deutsche Staatsangehörige vergleich- 
bar. Der eAufenthaltstitel besitzt die glei- 
chen elektronischen Zusatzfunktionen: 
So können die InhaberInnen die Online- 
Ausweisfunktion in Anspruch nehmen, 
z. B. für Online-Shops oder Behörden- 
Anwendungen, soweit diese hier- 
für eingerichtet sind. Anmeldungen in 
Internetportalen und der Altersnachweis 
im Internet sind darüber möglich. Den 
Zugriff auf die Daten erhalten aus- 
schließlich Anbieter, die ein staatliches 
Berechtigungszertifikat besitzen. 

Darüber hinaus ist der eAufenthalts- 
titel für die Qualifizierte Elektronische 
Signatur (QES) vorbereitet. Mit der 
Signatur können rechtsgültig digita- 
le Dokumente, z. B. Verträge, unter- 
zeichnet werden. Ein dafür notwendiges 
Zertifikat können die InhaberInnen bei 
einem Signatur-Anbieter am Markt er- 
werben. Für Drittstaatenangehörige, die 
derzeit einen gültigen Aufenthaltstitel als 
Klebeetikett besitzen, änderte sich zum 
01.09.2011 zunächst nichts. Die bisher 
ausgestellten Aufenthaltstitel behalten 
ihre Gültigkeit. Erst bei einer späteren 
Verlängerung oder Neuausstellung wird 
der Aufenthaltstitel als eAufenthaltstitel 
ausgestellt. Die Aufenthaltstitel werden 
weiterhin in der Ausländerbehörde be- 
antragt. Neu zu berücksichtigen ist die 
Produktionszeit und die dadurch beding- 
ten längeren Ausstellungszeiten in den 
Ausländerbehörden. Zur Antragstellung 
ist das persönliche Erscheinen in der 
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Ausländerbehörde 4 bis 6 Wochen vor 
Ablauf der Gültigkeit des bisherigen 
Aufenthaltstitels erforderlich (www. 
bmi.bund.de, PM BMI 23.08.2011). 


Baden-Württemberg 


Staatstrojanereinsatz im 
Fall Bögerl 


Der umstrittene Staatstrojaner ist of- 
fenbar bei den Ermittlungen im Fall der 
ermordeten Heidenheimer Bankiers- 
Ehefrau Maria Bögerl eingesetzt wor- 
den. Im Familien- und Freundeskreis 
der Bögerls wurden demgemäß 
auch Telefone überwacht. Auch eine 
Therapeutin, die die Angehörigen psy- 
chologisch betreut hatte, sei betrof- 
fen. Diese sei von der Einstellung 
der Abhörmaßnahme von der 
Staatsanwaltschaft informiert worden. 
Bögerl war am 12.05.2010 aus ihrem 
Haus verschwunden und drei Wochen 
später erstochen aufgefunden worden. 
Es gibt bis heute keinen Hinweis auf den 
Täter. Ihr Ehemann, der Heidenheimer 
Sparkassen-Vorstand Thomas Bögerl, 
nahm sich im Juli 2011 das Leben. 
Nachdem der Chaos Computer Club 
(CCC) im Oktober 2011 Details über den 
Staatstrojaner veröffentlicht hatte, die 
auf massive Rechtsverstöße hinwiesen, 
stoppte der Innenminister von Baden- 
Württemberg Reinhold Gall (SPD) den 
Einsatz der Spionagesoftware. Seinen 
Angaben zufolge wurde die Maßnahme 
vier Mal eingesetzt (Der Spiegel 3/2012, 
14; www.taz.de 15.01.2012). 


Berlin 


Funkzellenabfrage 
zur Aufklärung von 
Brandstiftungen 


Die Berliner Polizei hat im Fall des 
mutmaßlichen Serienbrandstifters Andre 
H. Funkzellenabfragen durchgeführt. 
Ein Sprecher der Staatsanwaltschaft be- 
stätigte, dass die umstrittene Maßnahme 
bei den Ermittlungen „in mehreren 
Fällen“ eingesetzt wurde. Die Ermittler 
stellten fest, dass das Handy des 
Verdächtigen zur Tatzeit in der Nähe des 
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Tatorts aktiv gewesen sei. Der Mann war 
im Oktober 2011 festgenommen wor- 
den und hatte 67 Brandstiftungen einge- 
räumt. Mittlerweile gehen die Ermittler 
sogar davon aus, dass er in über 100 
Fällen Autos angezündet und weitere 
beschädigt hat. Bei der Verhaftung des 
Verdächtigen hatten die Behörden bei 
der Darstellung der Fahndung dieses 
wichtige Detail verschwiegen. Damals 
stellte die Polizei den Fall so dar: Man 
sei dem Mann durch die Auswertung von 
Überwachungsvideos aus Haltestellen 
auf die Spur gekommen. Der später 
Verhaftete sei Fahndern aufgefallen, weil 
er kurz vor und nach Brandanschlägen 
auf Überwachungsfilmen zu sehen war. 
Polizisten hätten Andre H. „später zufäl- 
lig identifizieren“ können, hieß es da- 
mals. 

Auf Antrag der Piraten diskutier- 
te das Berliner Abgeordnetenhaus die 
Überprüfung von Handydaten bei der 
Suche nach Autobrandstiftern. Dabei 
ergab sich, dass die Polizei in über 800 
weiteren Fällen Handydaten überprüfte. 
Komplett konträre Sichtweisen prägten 
die Auseinandersetzung um die Handy- 
Überwachung, bei der seit 2008 rund 4,2 
Millionen Datensätze ausgewertet und 
960 Handyeigentümer namentlich iden- 
tifiziert wurden. Sahen SPD- und CDU- 
Fraktion sowie Innensenator Frank 
Henkel (CDU) bei der Überwachung al- 
les im legalen Bereich, so war das bei 
Grünen, Linkspartei und Piraten ganz 
anders. „Nicht alles, was der Staat kann, 
soll er auch dürfen“, sagte Grünen- 
Innenpolitiker Benedikt Lux. Jeder 
Eingriff in die Unschuldsvermutung sei 
zu vermeiden. Lux rückte die Vorgänge 
in die Nähe der noch umfangreicheren 
Datenüberprüfung im vergangenen Jahr 
bei einer Anti-Nazi-Demonstration in 
Dresden (DANA 3/2011, 119). „Was dort 
passiert ist, war ein Skandal, und das darf 
sich hier in Berlin nicht wiederholen.“ 
Den Piraten-Vorstoß, alle Betroffenen 
über SMS über die Erfassung zu infor- 
mieren, nannte er „völligen Unsinn“: 
Dies sei ein weiterer Eingriff, weil man 
die Daten verwerte. Die Piraten be- 
stritten das. Linkspartei-Rechtsexperte 
Klaus Lederer sprach von einem „hand- 
festen Überwachungsskandal“ und for- 
derte, das Instrument der Handydaten- 
Abfrage ersatzlos zu streichen. Wie Lux 
und Christopher Lauer (Piraten) konnte 


er mangels Fahndungserfolg keinen Sinn 
und nur Rechtsverletzungen darin erken- 
nen. Lauer kritisierte: „Unverdächtige 
kommen durch diese Maßnahmen in 
Verdacht.“ 

Nach Ansicht der CDU will die 
Linkspartei lediglich von eigenen 
Fehlern ablenken. Innensenator Henkel 
mochte nicht akzeptieren, dass sie nach 
Worten ihres Fraktionschefs Udo Wolf 
nichts von der Überwachung wusste, 
die 2008 unter rot-roter Regierung be- 
gann. Einen von Wolf ins Gespräch ge- 
brachten Untersuchungsausschuss hält 
er für überflüssig. „Ich weiß nicht, was 
Sie dort untersuchen wollen: Die recht- 
lichen Grundlagen können Sie sich in 
jeder Bibliothek rauslesen.“ Die Polizei 
habe sich an Recht und Gesetz gehalten. 
Sein Fraktionskollegen Robbin Juhnke 
kritisierte die Opposition: „Sie tun ja 
gerade so, als ob die Polizei mit Hilfe 
einer perfiden Apparatur die Träume 
von halb Friedrichshain aufgezeich- 
net hätte.“ In Richtung des Grünen Lux 
sagte Henkel, die Fälle in Dresden sei- 
en „mit denen in Berlin nicht vergleich- 
bar“. Nach Angaben von Staatssekretär 
Bernd Krömer (CDU) hat die Polizei 
über die debattierte Datenabfrage 
hinaus bei den mehr als 800 Fällen 
auch bei nicht politisch motivierten 
Straftaten Handydaten überprüft. SPD- 
Innenpolitiker Thomas Kleineidam 
mochte nicht bestreiten, dass die 
Datenabfrage in Grundrechte eingrei- 
fe, wichtig sei hier eine Abwägung. 
Videoaufzeichnungen - sie und nicht die 
Datenabfragen hätten zur Überführung 
des Brandstifters geführt - stellen für 
ihn einen viel größeren Eingriff dar. 
Kleineidam lehnt es wie Henkel ab, 
auf die Datenabfrage zu verzichten: 
„ich kann mir vorstellen, das auch in 
Zukunft einzusetzen. Grundsätzlich 
geeignet ist es sehr wohl, auch wenn 
es hier keinen Erfolg hatte.“ Berlins 
Datenschutzbeauftragter Alexander 
Dix meinte: „Es ist unbestritten, dass 
es sich bei Autobrandstiftungen um 
schwere Straftaten handelt.“ Angesichts 
der unklaren Rechtslage sei es „drin- 
gend geboten“, mit Sachsen für eine 
Gesetzesänderung einzutreten (www. 
spiegel.de 22.01.2012; von Bullion SZ 
24.01.2012, 1, 5; Alberti www.taz.de 
26.01.2012). 
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Berlin 


Soziale Bewegungen 
im digitalen Tsunami — 
Tagung in Berlin am 
4. Februar 2012 


ExpertInnen ausder Datenschutzpraxis 
und AktivistInnen aus den sozialen 
Bewegungen brachte am 4. Februar 2012 
eine Tagung in Berlin-Kreuzberg zusam- 
men, um gemeinsam Reaktionen auf die 
Überwachungsanfälligkeit moderner 
Kommunikationsmittel, die Wirksamkeit 
verschiedener Gegenstrategien und 
Fragen des digitalen Selbstschutzes zu 
erörtern. 

Unter dem Titel „Soziale Bewegungen 
im digitalen Tsunami“ diskutierten unter 
anderemRechtsanwaltPeerStolle(RAV), 
Erich Moechel, Eric Töpfer (Statewatch/ 
CILIP), Ralf Bendrath, Renat Tangens 
(foebud) und Thilo Weichert (ULD) die 
Entwicklung und Anwendung von mo- 
derner Überwachungstechnologie mit 
VertreterInnen aus sozialen Bewegungen 
und NetzaktivistInnen. Die Beiträge auf 
den drei Podien, an denen u.a. auch 
Matthias Monroy (Gipfelsoli), Katharina 
Nocun (AK Vorrat), Sandra Mamitzsch 
(Digitale Gesellschaft e.V.) und ein 
Vertreter von nadir.org teilnahmen, sind 
im download zu hören auf http://netzpo- 
litik.org/20 12/livestream-soziale-bewe- 
gungen-im-digitalen-tsunami/. S. auch 
taz v. http://www.taz.de/!86966/. 


Berlin 


Polizei beschafft sich 
Staatstrojaner von 
Syborg 


Die Polizei in Berlin beschafft sich 
nach Angaben von Innensenator Frank 
Henkel zur Ausspähung von Computern 
von Verdächtigen für 280.000 Euro ei- 
nen Trojaner der Firma Syborg. Die 
Piratenpartei hatte eine große Anfrage 
gestartet. Aus der Antwort ergibt sich, 
dass der Auftrag für den Berlintrojaner 
erteilt ist. Christopher Lauer von der 
Piratenpartei: „Die Software darf nicht 
zum Einsatz kommen. Wenn Herr 
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Henkel wider besseren Wissens die- 
se Software nutzen lässt, dann ist der 
nächste Skandal vorprogrammiert.“ 
Lauer und sein Kollege Alexander 
Morlang meinen, dass eine rechtlich 
saubere Nutzung eines Trojaners nicht 
machbar sei. „Das Bundesverfassungs- 
gericht hat Schranken für den Einsatz 
von Quellen-Telekommunikationsüber- 
wachung und Online-Durchsuchung 
gesetzt, die sich technisch nicht umset- 
zen lassen.“ Henkel hatte hingegen be- 
tont, der Einsatz einer solchen Software 
könne rechtmäßig erfolgen und sei 
für die Ermittlungsarbeit notwendig. 
Nicht nur die Piratenpartei kritisier- 
te den Einsatz eines Trojaners. Auch 
Klaus Lederer, Sprecher der Linkspartei 
für Recht und Verbraucherschutz 
im Abgeordnetenhaus, nannte den 
Berlintrojaner unvereinbar mit der 
Verfassung. 

Die saarländische Firma Syborg hat- 
te im Oktober 2011 zur Staatstrojaner- 
Affäre mitgeteilt, man gebe „generell 
keine Auskunft über Kunden, potentielle 
Kunden oder Lösungen“. Im Dezember 
äußerte sich der Firmenchef dann doch: 
Bei eine Recherche waren Journalisten 
in Libyen auf Unterlagen der Firma 
gestoßen. Dabei handelte es sich of- 
fenbar um ein Angebot. Syborg-Chef 
Robert Lander erklärte darauf, sein 
Unternehmen habe „bis dato keiner- 
lei Geschäfte mit beziehungsweise in 
Libyen getätigt“ (Reißmann www.spie- 
gel.de 27.01.2012). 


Hessen 


Heimliche 
Videoüberwachung 
bei Maredo führt zu 
Kündigungen 


Die Steakhaus-Kette Maredo soll 
die überwiegend ausländischen Mit- 
arbeiterInnen unter Druck gesetzthaben, 
indem sie diese per Video überwach- 
te und dazu aufforderte, ihre Handys 
während der Arbeitszeit abzugeben, 
damit sie nicht mehr telefonieren kön- 
nen. Gerhard Jahn, 59jähriger Sekretär 
bei der Gewerkschaft Nahrung, Genuss, 
Gaststätten (NGG), meinte, er habe in 
seinen zwei Jahrzehnten Tätigkeit „ei- 


nen solchen Fall noch nicht erlebt: 
Das ist einmalig in Deutschland.“ 
Bezug genommen wird damit auf den 
26.11.2011, als im Restaurant der 
Steakhaus-Kette Maredo in der Frank- 
furter Fressgasse 34 Beschäftigte, mehr- 
heitlich MigrantInnen, von Sicherheits- 
mitarbeitern in der Filiale festgehalten 
und „zu Eigenkündigungen gezwungen 
wurden“. Bei der Staatsanwaltschaft 
Frankfurt haben 14 Angestellte danach 
Strafanzeige wegen Freiheitsberaubung 
und Nötigung gestellt. Ein Sprecher 
der Maredo-Zentrale in Düsseldorf be- 
stritt strikt die Vorwürfe: „Es ist nie- 
mand festgehalten worden, jeder konn- 
te gehen oder telefonieren.“ Maredo 
erklärte, die MitarbeiterInnen in der 
Filiale Große Bockenheimer Straße 
24 durch Videokameras und verdeck- 
te Ermittler zuvor überwacht zu ha- 
ben. Es sei regelmäßig zu Diebstählen 
von Lebensmitteln und anderem 
Firmenbesitz gekommen. „In einer 
Woche wurden allein 500 Vergehen 
dokumentiert.“ Im Februar 2011 be- 
gann die Überwachungsaktion mit dem 
Hinweis eines Mitarbeiters gegenüber 
dem Filialleiter: „Die Leute klauen wie 
die Raben.“ Nun meint die Firma, mit 
den Aufnahmen der Videokameras be- 
legen zu können, dass 29 Beschäftigte 
an den Diebstählen beteiligt gewesen 
seien. Über die Höhe des entstandenen 
Schadens ließen sich keine Angaben 
machen. Ein Unternehmenssprecher 
meinte: „Wir wundern uns, dass die 
Gewerkschaft Leute schützt, die klau- 
en“. 

Die Videokameras wurden laut Ge- 
werkschaftssekretär Jahn „illegal, ohne 
Wissen der Beschäftigten installiert 
— und zwar so, dass sie nicht zu sehen 
waren“. Zwei verdeckte Ermittler hät- 
ten zudem im Auftrag von Maredo in 
der Zweigstelle gearbeitet — „der eine 
14 Tage, der andere vier Wochen“. Am 
26.11.2011 fieletwaum 13 Uhrder Strom 
aus. Nach Darstellung der Gewerkschaft 
habe Maredo so dafür gesorgt, dass die 
Gäste das Haus verließen und man un- 
ter sich war. „Die rückten mit einem gro- 
Ben Stab aus der Zentrale in Düsseldorf 
an, darunter der Hauptpersonalchef und 
Sicherheitsleute.“ Der Sprecher des 
Unternehmens meinte dagegen, es habe 
sich um einen normalen „Stromausfall“ 
gehandelt, der später „repariert“ wor- 
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den sei. Niemand sei gezwungen wor- 
den, die Firma zu verlassen: „Wir 
wollten angesichts der Diebstähle 
den Leuten die Gelegenheit geben, 
selbst zu kündigen.“ Tatsächlich habe 
Maredo 16 Kündigungen ausgespro- 
chen, 13 MitarbeiterInnen hätten „von 
selbst gekündigt“. Zwei dieser freiwil- 
ligen Kündigungen seien später wie- 
der zurückgenommen worden. Einige 
der Betroffenen wehren sich nun vor 
dem Arbeitsgericht Frankfurt gegen ihre 
Kündigung (Göpfert, www.fr-online.de 
18.01.2012). 


Hessen 


Elterliche Kontrolle 
führte zu gegenseitigen 
Hacking-Angriffen 


Ein junger Hacker ärgerte ei- 
nen misstrauischen Vater — und löst 
damit eine Debatte über die 
Sicherheitsvorkehrungen bei der Polizei 
aus. Der Vater ist Beamter im gehobe- 
nen Dienst bei der Bundespolizei, und 
von seinem privaten Rechner kamen in- 
terne Dokumente abhanden. Der Vater 
wollte herausfinden, was seine Tochter 
im Internet treibt, und spielte ihr einen 
Trojaner auf den Rechner. Das fand ein 
Freund des Mädchens heraus. Der junge 
Mann, in der Hacker-Szene tätig, zahl- 
te es dem neugierigen Papa heim, schaut 
sich auf dessen Computer um und lud 
Dokumente herunter. Die Dokumente, 
die er auf seinem Rechner gespeichert 
hatte, waren dienstlicher Art. Es han- 
delte sich um Kommunikationspläne: 
Wer muss wen in welchem Fall unter 
welcher Nummer anrufen. Viel anfan- 
gen konnte der junge Mann damit nicht, 
die Dokumente waren nur für den inter- 
nen Gebrauch nützlich; zudem sollen sie 
nicht auf dem aktuellen Stand gewesen 
sein. Dass der Polizist sie nicht auf dem 
Rechner hätte speichern dürfen, ist je- 
doch unstrittig. 

Die Geschichte um den misstrau- 
ischen Vater und den technisch versier- 
ten Freund seiner Tochter hatte noch 
eine weitere Komponente mit justiziel- 
len Folgen. Der junge Mann hatte of- 
fenbar Kontakt zur No-Name-Crew, ei- 
ner anonymen Gruppe von Hackern und 
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InternetaktivistInnen, die zum Ziel hat, 
gegen staatliche Eingriffe im Internet 
vorzugehen. Dabei bedient sie sich zu- 
mindest fragwürdiger Methoden. Bei der 
Staatsanwaltschaft Köln ist seit Sommer 
2011 ein Verfahren anhängig. Der jun- 
ge Mann aus Frankfurt bot die herun- 
tergeladenen Kommunikationspläne 
der No-Name-Crew an. Ob die Gruppe 
Interesse hatte, ist unklar. Doch allei- 
ne der Kontakt zwischen dem Hacker 
und den Aktivisten führte dazu, dass 
sich die Kölner Staatsanwälte einschal- 
teten. Deren Pressesprecher erhielt 
nach Bekanntwerden des Falls vor- 
wiegend aus dem Rhein-Main-Gebiet 
Presseanfragen. Die Bundespolizei hat- 
te zuvor verlauten lassen, die Kölner 
Staatsanwaltschaft werde sich zu dem 
Fall äußern, was aber nicht zutraf. Um 
die Ermittlungen in dem Verfahren ge- 
gen die No-Name-Crew nicht zu gefähr- 
den, könne er in der Angelegenheit des 
Frankfurter Bundespolizisten „keiner- 
lei Auskunft“ geben. Die Wortkargheit 
erklärt sich damit, dass die No-Name- 
Crew im Juli 2011 eine spektakulä- 
re Aktion gestartet hatte, als sie den 
sogenannten Patras-Server angegrif- 
fen hatte, ein GPS-Fahndungssystem, 
mit dem Zoll und Polizei den Standort 
von Verdächtigen orten können (vgl. 
DANA 3/2011, 114). Mit der Attacke auf 
„Patras“ habe der junge Mann, der dem 
neugierigen Vater die Daten stahl, nichts 
zu tun, hieß es von der Bundespolizei 
(www.fr-onlinede 09.01.2012; Der 
Spiegel 2/2012, 14). 


Mecklenburg-Vorpommern 


Professor praktiziert 
Prüfungsvideoüber- 
wachung 


Ein Rostocker Mathematikprofessor 
nutzte Videokameras zur Überwachung 
von 120 Studierenden bei einer Prüfung. 
Da dies unzulässig ist, besteht nun das 
Risiko, dass Betroffene die Prüfung an- 
nullieren lassen. Der Professor gab zu: 
„Das war mein Fehler.“ Erhhabe nicht ge- 
wusst, dass das Verfahren bei Prüfungen 
nicht zulässig ist. Der Prüfungsraum, ein 
Audimax, sei zu unübersichtlich gewe- 
sen, um nur durch einen Prüfenden be- 


aufsichtigt zu werden. Die Universität 
war zunächst für eine Stellungnahme 
nicht zu erreichen (SZ 20.02.2012, 9). 


Nordrhein-Westfalen 


Massenhafte polizeiliche 
Handyordnung mit „stiller 
SMS“ 


Der NRW-Innenminister Ralf Jäger 
(SPD) nannte auf eine Kleine Anfrage 
der Linken-Landtagsabgeordneten Anna 
Conrads Details zur Handy-Über- 
wachung: Danach wurden 2010 2.644 
Mobiltelefone heimlich mit „stillen 
SMS“ geortet. Hintergrund der Anfrage 
war die heimliche Handy-Ortung der 
Polizei in Sachsen per Funkzellen- 
abfrage anlässlich Antifaschistischer 
Demonstrationen im Februar 2011 
(DANA 3/2011, 119 ff.). Danach scheint 
die polizeiliche Handy-Ortung längst ein 
Standardverfahren und keine Ausnahme 
mehr zu sein. 

Zum Einsatz der Funkzellenauswer- 
tung sagte Innenminister Jäger nicht 
viel. Er verwies lediglich auf Paragraf 
100g der Strafprozessordnung (StPO), 
nach dem die Maßnahme nur auf rich- 
terliche Anordnung und bei Verdacht auf 
Straftaten von erheblicher Bedeutung er- 
laubt ist. Wie oft diese Überwachungs- 
technik eingesetzt wurde, vermöge er 
nicht zu sagen, da die Funkzellenauswer- 
tung ein „Unterfall der in $ 100g StPO 
normierten Verkehrsdatenerhebung“ sei 
und „nicht selbständig in der Statistik er- 
fasst‘ werde. Bzgl. der „Ortungsimpulse“ 
wurde Jäger dagegen konkreter. Demnach 
wurden im vergangenen Jahr in 776 
Ermittlungsverfahren insgesamt 5.276 
Mobiltelefone überwacht. An rund die 
Hälfte davon, nämlich an 2.644 Geräte, 
wurden Ortungssignale versandt. Um 
ein Handy zu orten oder den Weg eines 
Handybesitzes nachzuzeichnen, müssen 
zum Teil Hunderte Signale versandt wer- 
den. Die Gesamtzahl der im Jahr 2010 
versandten Ortungssignale lag deshalb 
bei 255.784. Damit war in Nordrhein- 
Westfalen die Zahl zum ersten Mal seit 
Jahren gesunken. Zwischen 2006 und 
2009 war sie kontinuierlich von rund 
156.000 auf ziemlich genau 320.000 ge- 
stiegen. Jäger konnte nicht sagen, wie 
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viele Ermittlungsverfahren und wie 
viele betroffene Anschlüsse in diesen 
Jahren diesen Zahlen zuzuordnen sind. 
Außerdem sagt die Zahl allein nichts 
darüber aus, wie oft jemand wirklich ge- 
ortet wurde. Denn ein Ortungssignal „an 
ein Endgerät, das nicht betriebsbereit war 
(z. B. ausgeschaltet) oder im Ausland 
betrieben wurde“, hat keinen Effekt. Er 
nannte drei Beispiele für einen erfolg- 
reichen Einsatz der Technik, wohl um 
den tausendfachen Einsatz zu rechtfer- 
tigen: Ein flüchtiger Gewaltverbrecher, 
ein Vergewaltiger und ein Drogendealer 
hätten mit Hilfe von Ortungssignalen 
gefasst werden können (Beuth www. 
zeit.de 23.11.2011; zur „stillen SMS“ 
auf Bundesebene siehe oben S. 21). 


Rheinland-Pfalz 


Polizeikennzeichnung in 
der Diskussion 


In Rheinland-Pfalz sollen - ähnlich 
wie in Berlin (DANA 1/2011, 19) - die 
PolizistInnen bei Fußballspielen oder 
Demonstrationen künftig eine besondere 
Kennzeichnung tragen, wobei ein rotieren- 
des Nummernsystem erwogen wird. Die 
Gewerkschaft der Polizei (GdP) im Lande 
lehnt die Identifizierung per Namensschild 
bei Großeinsätzen ab, so wie sie bisher 
bei StreifenpolizistInnen praktiziert wird. 
GdP-Landeschef Ernst Scharbach warn- 
te, dass für Beamte mit Namensschildern 
gerade bei riskanten Einsätzen ein „erheb- 
liches Bedrohungspotenzial“ bestehe (SZ 
31.01.2012, 6). 


Thüringen 


Lutz Hasse ist neuer 
Landesdatenschutz- 
beauftragter 


Am 24.02.2012 wurde Dr. Lutz Hasse 
mit 45 Stimmen (erforderlich waren 44) 
zum neuen Thüringer Landesbeauftragten 
für den Datenschutz gewählt. Constanze 
Kurz, die gegen ihn auf Vorschlag der 
Fraktion der Grünen kandidierte, erhielt 
34 der 82 abgegebenen gültigen Stimmen. 
Der 52jährige Jurist Hasse, der zuletzt als 
Referatsleiter im Thüringer Ministerium 
für Soziales, Familie und Gesundheit tä- 
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tig war, übernahm am 01.03.2012 die 
Aufgabe von Harald Stauch, der das Amt 
seit 2006 inne hatte. CDU-Fraktionschef 
Mike Mohring und SPD-Kollege Uwe 
Höhn hatten sich nach einigem Hin und 
Her auf Hasse geeinigt. Lutz Hasse hat- 
te zuvor für einige Zeit unter seinem 
Vorgänger Stauch gearbeitet. 

Die oder der Landesbeauftragte muss 
mit der Mehrheit der Stimmen des 
Landtags gewählt werden. Eine einmalige 
Wiederwahl ist zulässig. Die Vorschläge 
kommen von den einzelnen Fraktionen, die 
auch die Mehrheiten für ihren Kandidaten 
organisieren müssen. Vor der Novellierung 
des Landesdatenschutzgesetzes (LDSG) 
Ende 2011 hatte die Landesregierung 
das alleinige Vorschlagsrecht für den 
Kandidaten. Der Posten ist mit der 
Besoldungsgruppe 6 ausgezeichnet. Das 
Brutto-Jahreseinkommen liegt bei etwa 
95.000 Euro und ist damit höher als in 
fast allen anderen Bundesländern. Seit 
Ende 2011 ist zur Kontrolle des öffent- 
lichen Bereichs die Aufsicht über die 
Privatwirtschaft hinzugekommen. Hier 
können auch Bußgelder verhängt werden. 

Mankannnichtsagen, dass der 58jährige 
Vorgänger Stauch sich in seinem Amt all- 
zu kritisch betätigt hätte. Stauch ist gelern- 
ter Diplomingenieur und war von 1990 bis 
2006 Mitglied des Thüringer Landtags, seit 
1994 parlamentarischer Geschäftsführer 
der CDU-Landtagsfraktion. Doch übte 
er sein Datenschutzamt offensichtlich 
dennoch zu unabhängig aus, wagte er es 
doch ab und zu, sich kritisch gegenüber 
der Regierung zu äußern, zuletzt bei der 
völlig missglückten LDSG-Überarbeitung 
im Jahr 2011. In seinem letzten 
TätigkeitsberichthatteStauchKommunen, 
Polizei und Schulverwaltungen  kriti- 
siert und sich unter anderem gegen aus- 
ufernde Videoüberwachung und gegen 
Funkzellenabfragen ausgesprochen. Für 
Union und SPD kam er deshalb schein- 
bar für weitere sechs Jahre nicht infrage. 
Beide Fraktionen stritten sich anschlie- 
Bend lediglich darum, wer denn nun ei- 
nen Nachfolger vorschlagen dürfe. Die 
Ablösung als Datenschutzbeauftragter 
des Freistaats Thüringen kam für Stauch 
überraschend. Im Vorfeld hatte kei- 
ner mit ihm darüber gesprochen. Er be- 
richtete gegenüber der Presse, dass er 
„Quasi auf der Skipiste‘“ erfuhr, dass die 
Regierungsfraktionen von CDU und SPD 
bereits munter über einen Nachfolger re- 


den: „So wie das offenbar gelaufen ist, 
lässt es den Respekt vor dem Amt des 
Datenschutzbeauftragten vermissen“. Er 
habe nie freiwillig auf eine Kandidatur an 
der Spitze der Behörde verzichtet. 

Die Grünen hatten überraschend eine 
kompetente Gegenkandidatin präsentiert: 
Constanze Kurz ist Mitglied der Enquete- 
Kommission Internet und digitale 
Gesellschaft des Deutschen Bundestages 
sowie Sprecherin des Chaos Computer 
Clubs. Am 21.02.2012 hatten die Grünen 
in ihren Fraktionsberatungsraum ein- 
geladen. Mitglieder der Piratenpartei, 
Anhänger der Linken aber auch junge 
ComputerexpertInnen waren gekommen, 
um Constanze Kurz kennenzulernen. 
„Wir sind für eine freie Internetkultur“‘, 
sagte Fraktionschefin Anja Siegesmund 
zu Beginn der Diskussionsrunde. 
Gleichzeitig müsse die Datensammelwut 
von Behörden und der Wirtschaft einge- 
dämmte werden. Constanze Kurz erklär- 
te, dass sie sich gerne bereit erklärt habe, 
für das Amt zu kandidieren. Datenschutz 
sei in den vergangenen Jahren immer po- 
litischer geworden, die BürgerInnen hät- 
ten immer mehr Fragen dazu. Sie be- 
tonte, das Amt sei zu wichtig, um es an 
einen Proporzkandidaten der Parteien zu 
vergeben. Constanze Kurz räumte ein, 
dass ihr bewusst sei, dass die Chance auf 
ihre Wahl nicht riesig sei. Sie würdig- 
te die Tätigkeit des bisherigen Thüringer 
Datenschutzbeauftragten Harald Stauch; 
er habe eine gute Arbeit abgeliefert. 

Dem freundlichen Empfang durch 
die Linken gegenüber Constanze 
Kurz war allerdings ein Angriff von 
Linkenfraktionschef Bodo Ramelow auf 
die Grünen vorausgegangen. In einem 
Radio-Interview warf er der kleineren 
Fraktion vor, dass diese überhaupt kein 
Vorschlagsrecht für die Neubesetzung 
des Landesdatenschutzbeauftragten 
habe. Erst später wurde ihm klar, dass 
das LDSG geändert worden war und nun 
nicht mehr die Landesregierung, sondern 
das Parlament Vorschläge unterbreiten 
darf. „Ich habe mich für den Fehler bei 
Anja Siegesmund entschuldigt“, erklär- 
te Bodo Ramelow und kündigte an, die 
Kandidatin der Grünen unterstützen zu 
wollen. Immerhin sitze Constanze Kurz 
für die Linken als Sachverständige in der 
Enquete-Kommission „Internet und digi- 
tale Gesellschaft“ des Bundestages. 
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Landtagspräsidentin Birgit Diezel 
(CDU) gratulierte dem neu gewählten 
Datenschutzbeauftragten: „Dr. Hasse be- 
sitzt durch seine Beschäftigung beim 
Datenschutz eine langjährige Erfahrung 
auf diesem Gebiet. Durch seine Tätigkeit 
als Referatsleiter beim Thüringer Daten- 
schutzbeauftragten weiß er um die zu- 
künftigen Herausforderungen. Ich wün- 
sche Dr. Hasse, dass er mit Engagement 
die neue Tätigkeit beginnen wird. Für die 
neuen Herausforderungen wünsche ich 
ihm viel Erfolg.“ Sie dankte dem aus dem 
Amt scheidenden Stauch. Dieser habe 


sich der komplexen Materie Datenschutz 
engagiert angenommen und gemeinsam 
mit seinen Mitarbeitern nicht nur für die 
Einhaltung der Datenschutzrichtlinien 
gesorgt, sondern auch das Bewusstsein 
der Behörden und der Öffentlichkeit für 
den Datenschutz sensibilisiert. „Für die- 
se geleistete Arbeit bin ich sehr dank- 
bar. Seine Amtszeit ist von stetigem 
Engagement geprägt. Ich danke Harald 
Stauch für die geleistete Arbeit, die er mit 
so viel Engagement betrieben hat. Sein 
Nachfolger kann auf einem guten und si- 
cheren Fundament aufbauen.“ 


Datenschutznachrichten aus dem Ausland 


Europa 


Mosley klagt gegen 
Sadomaso-Bilder im Netz 


Der frühere 71jährige Motorsport- 
Präsident Max Mosley willneben Google 
weitere Suchmaschinenbetreiber verkla- 
gen, um Fotos einer privaten Sadomaso- 
Party aus dem Internet zu tilgen: „Wenn 
wir gegen Google vor Gericht gewinnen, 
wird es wohl nicht mehr nötig sein, an- 
dere zu verklagen. Aber wenn es not- 
wendig ist, machen wir es.“ Mosley 
klagt in Frankreich und Deutschland, 
weil das Unternehmen über seine 
Internetbildersuche immer wieder Fotos 
anzeigt, die in diversen Gerichtsverfahren 
als illegaler Eingriffin die Intimsphäre ein- 
gestuft wurden. Als Verhandlungstermin 
vor dem Landgericht (LG) Hamburg war 
der 30.03.2012 vorgesehen. Mosley, bri- 
tischer Staatsbürger, will erreichen, dass 
Google sich verpflichtet, die Fotos gar 
nicht erst in seinen Suchergebnissen anzu- 
zeigen. Es geht konkret um 10 Bilder, die 
Mosley mit 5 Frauen zeigen. 2008 hatte 
das inzwischen eingestellte Skandalblatt 
„News of the World‘ (siehe unten S. 29) 
Mosley bei einer Sexparty gefilmt und die 
Fotos im Netz veröffentlicht. 

Allein in Deutschland hat Mosley er- 
wirkt, dass 190 Internetseiten mit Fotos 
gelöscht werden mussten. Die Bilder 
tauchten jedoch immer wieder auf 
Seiten auf, deren Betreiber oft nicht er- 
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mittelbar waren. Google argumentiert, 
es könne keine Bilder sperren, solan- 
ge kein Urteil gegen einen Betreiber 
vorliege; alles andere sei Zensur. Das 
Unternehmen sieht sich nicht verant- 
wortlich für den Inhalt von Webseiten, 
hat allerdings nach Aufforderung von 
Mosleys Anwältin in Deutschland, 
Tanja Irion, einzelne Bilder entfernt: 
„Nach welchen Kriterien Google ent- 
scheidet, wann sie löschen und wann 
nicht, ist uns nicht ersichtlich. Das ist 
Willkür.“ Mosley erklärte, er halte es 
für „falsch und erniedrigend“, dass er 
immer wieder bei Google die nach- 
trägliche Löschung der Bilder bean- 
tragen müsse. Er will den Ausgang der 
Verfahren in Europa abwarten, bevor er 
eine Klage gegen Google in Kalifornien/ 
USA prüft (Der Spiegel 49/2011, 167). 


Europa 


USA beanspruchen 
Mitspracherecht bei EU- 
Datenschutzreform 


In der Debatte über die Reform des 
Datenschutzrechts in Europa meint die 
US-Regierung, Teildes Reformprozesses 
zu sein. Der oberste Jurist des US- 
Handelsministeriums, Cameron F. Kerry, 
sagte am Mittwoch in Berlin: „Wir ver- 
stehen die internationalen Partner als 
Beteiligte im internationalen Prozess 


Derzeit arbeiten 12 Mitarbeitende 
in der Behörde, die ihren Sitz im 
Thüringer Landtag in der Jürgen-Fuchs- 
Str. 1 hat. Insgesamt ist das Haus in drei 
Referate aufgeteilt - zwei beschäftigen 
sich vorrangig mit Rechtsthemen und 
Rechtsproblemen, das dritte Referat küm- 
mert sich um anfallende Technikfragen 
(Rathay/Mudra www.thueringer-allge- 
meine.de 22.02.2012; Biermann www. 
zeit.de 24.02.2012; PM Thüringer 
Landtag 24.02.2012). 


und andersherum verstehen wir uns als 
Beteiligte im europäischen Prozess.‘ Die 
EU-Justizkommissarin Viviane Reding 
hatte sich in Brüssel über die Versuche 
der Einflussnahme sowohl von Firmen 
als auch Regierungsinstitutionen aus an- 
deren Ländern schon vor der Veröffent- 
lichung der ersten Entwürfe beklagt. 

Kerry war nach einer Visite in Brüssel, 
wo er mit Vertretern des Europa- 
parlaments, der Presse und der EU- 
Kommission zusammentraf, in Berlin, 
um dort unter anderem mit dem Bundes- 
datenschutzbeauftragten Peter Schaar zu 
reden. Hintergrund der Europareise wa- 
ren neben der Datenschutzreform die ge- 
rade von der US-Regierung vorgestell- 
ten Regelungen für Datenschutz, die auf 
US-Bundesstaatsebene Mindestkriterien 
für den Datenschutz festlegen und Ver- 
brauchern und der Handelsaufsicht FTC 
rechtliche Werkzeuge zur Durchsetzung 
an die Hand geben sollen. 

Kritiker bezeichnen den Vorstoß 
des Weißen Hauses als vergleichswei- 
se schwach. Kerry hingegen betonte, 
dass Europa vor allem auf dem Papier 
ein starkes Datenschutzrecht habe, 
während in den USA das tatsächliche 
Niveau der Durchsetzung beachtlich sei. 
Datenschutz sei in den USA ein wichti- 
ges Thema geworden. 

Bedenken wegen Zugriffsmöglich- 
keiten für US-Nachrichtendienste auf 
Daten, die in den USA gehalten oder 
von dortigen Unternehmen kontrol- 
liert werden, wie es der Patriot Act 
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vorschreibt, wies Kerry zurück: Das 
Gesetzespaket sei diesbezüglich in er- 
ster Linie „ein Monster unter dem 
Bett“. Unter anderem die mangelnden 
Rechtsschutzmöglichkeiten für Nicht- 
US-Bürger hatten immer wieder Kritik 
ausgelöst — die Kerry für überzogen er- 
klärte. In Wahrheit wären die Zugriffs- 
möglichkeiten für staatliche Stellen in 
Europa viel weitergehender als die der 
US-Behörden. (Falk Lüke, http://www. 
heise.de/newsticker/meldung/USA- 
beanspruchen-Mitspracherecht-bei-EU- 
Datenschutzreform-1445922.html) 


Niederlande 


Kameragrenzkontrolle zu 
Deutschland und Belgien 


Die Niederlande führten zum 
Jahreswechsel 2011/2012 an allen gro- 
ßen Grenzübergängen zu Deutschland 
(10) und Belgien (5) automati- 
sche Grenzkontrollen ein, bei denen 
Kameras Kfz und LKW fotografie- 
ren. Hinzu kommen 6 mobile Kameras, 
die an kleineren Übergängen einge- 
setzt werden. Fällt hierbei ein verdäch- 
tiges Auto auf, so wird es kurz dar- 
auf von einer Polizeistreife gestoppt. 
Justizminister Ivo Opstelten erläuterte, 
hierdurch könne man z. B. Kleinbusse 
aus Bulgarien und Rumänien abfan- 
gen, die Zwangsprostituierte ins Land 
bringen. Das eingesetzte System heißt 
„@migo-boras“ und basiert auf einer 
Nummernschilderkennung (automatic 
number plate recognition - ANPR). Mit 
welchen Datenbeständen die fotografier- 
ten Nummernschilder abgeglichen wer- 
den, ist bisher nicht klar. Das Projekt 
wurde zunächst als Pilotprojekt begon- 
nen und sollte im Frühjahr 2012 offizi- 
ell starten. Laut Immigrationsminister 
Gerd Leers ermöglicht die Erfassung die 
Aufzeichnung von „Verkehrsmustern“, 
die „auf Basis allgemeiner Daten und 
Zielgruppenproflen melden, wel- 
ches Fahrzeug für eine Kontrolle in- 
teressant sein kann“. Die gewonne- 
nen Informationen würden umgehend 
der Grenzpolizei übermittelt, die dann 
das entsprechende Auto anhalten kann. 
Gemäß einem Gesetzentwurf der 
Regierung in Den Haag sollen die Daten 
vier Wochen lang gespeichert werden 
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dürfen. Sie sollten nicht dazu genutzt 
werden, säumigen ParksünderInnen auf 
die Spur zu kommen, so ein Sprecher 
des Innenministeriums: „Dies ist ein 
Instrument gegen schwere Kriminalität 
wie Menschenhandel, es eignet sich über- 
haupt nicht, um ausstehende Geldbußen 
zu kassieren.“ 

Niederländische DatenschützerInnen 
kritisieren das Vorhaben. Die Stiftung 
Privacy First spricht von einem „enor- 
mem Eingriff in die Privatsphäre“. Alle 
Fahrzeuge zu kontrollieren, um bei ei- 
nem etwas Verdächtiges zu finden, sei 
eine „Umkehrung des Rechtssystems“. 
Die Datenschutz-Website sargasso.nl 
befürchtet, die Grenzpolizei habe damit 
zumindest die Möglichkeit, einreisende 
Autos gleichzeitig mit „allerlei schwar- 
zen Listen“ abzugleichen. Eben dies 
verneint Immigrationsminister Leers 
entschieden. Ebenso wenig würden die 
gewonnenen Informationen gespeichert; 
immerhin gesteht er ein: „Wohl können 
die Kameras anhand des Kennzeichens 
sehen, aus welchem Land ein Auto oder 
LKW kommt.“ 

Herbst 2011 begann sich die EU- 
Kommission für den Fall zu interessie- 
ren. Nachdem Deutschland aus Sorge 
um den freien Verkehr zwischen den 
Mitgliedsstaaten in Brüssel eine Klage 
eingereicht hatte, wandte sich EU- 
Innenkommissarin Cecilia Malmström 
mit der Bitte um mehr Informationen 
an die Regierung in Den Haag. Der kri- 
tische Blick aus Brüssel erklärt sich 
nicht zuletzt aus dem Kontext des letz- 
ten Jahres. Sowohl Frankreich als auch 
Dänemark führten 2011 vorüberge- 
hend Grenzkontrollen ein, was in an- 
deren Mitgliedsstaaten grundsätzliche 
Diskussionen auslöste. Dabei ging es 
auch um eine mögliche Signalwirkung: 
Grenzpolitische Alleingänge einzelner 
Mitglieder könnten die Erosion europä- 
ischer Errungenschaften wie beispiels- 
weise den Wegfall der Binnengrenzen 
zur Folge haben. Die EU-Kommission 
will prüfen, ob die Kameras an der 
Grenze gegen das Schengen-Abkommen 
des freien Grenzverkehrs verstoßen. 
Wie in Dänemark, das teilweise Grenz- 
kontrollen wieder einführte, gelten auch 
in Holland die Rechtspopulisten als trei- 
bende Kraft hinter den Kontrollen an den 
Außengrenzen. Ein Sprecher des hollän- 
dischen Grenzschutzes rechtfertigt die- 


se: „Im Grunde tun die Kameras dassel- 
be wie die Kollegen, die an der Autobahn 
stehen und Autos herauswinken.“ 

Frank Richter, der stellvertreten- 
de Bundesvorsitzende der deutschen 
Gewerkschaft der Polizei (GdP), mein- 
te: „Wir lehnen eine permanente Über- 
wachung konsequent ab.“ Ein sol- 
ches System dürfe nur kurzfristig bei 
einer aktuellen Fahndung eingesetzt 
werden. Für die Niederlande sind die 
Fotokameras an den Grenzen nur der 
Ausbau eines Überwachungssystems, 
das im Inland schon an den meisten 
Autobahnen installiert ist und die Autos 
der Vorbeifahrenden fotografiert. Im 
einst liberalen Land gibt es darüber 
keine große Diskussion mehr (Dörries 
SZ 30.11.2011, 6; Müller www.zeit.de 
04.01.2012). 


Luxemburg 


YouPorn-Chatter im 
Internet geoutet 


Unbekannte haben 
zerInnen-Namen und Passwörter 
von Teilnehmenden des YouPorn- 
Chats veröffentlicht. Damit gerät die 
YouPorn-Mutterfirma lManwin mit 
Sitz in Luxemburg bereits das zwei- 
te Mal innerhalb weniger Tage nega- 
tiv in die Schlagzeilen. Im Netz veröf- 
fentlicht wurden E-Mail-Adressen und 
Passwörtern. Es kursiert eine Liste mit 
etwa 6.400 Datensätzen. Der schwedi- 
sche Sicherheitsblogger Anders Nilsson 
berichtete sogar von einer Million be- 
troffener Registrierungen, doch wurden 
seine Angaben nicht verifiziert. YouPorn 
zufolge handelt es sich nicht um die 
Informationen über die Nutzenden, die 
sich nur bei dem Portal selbst angemel- 
det haben. Betroffen sind offenbar ledig- 
lich Mitglieder des YouPorn-Chats, der 
von einer anderen Firma betrieben wird 
und dessen Daten damit auch auf einem 
anderen Server gespeichert wurden. 
Nilsson zufolge soll diese Fremdfirma 
seit 2007 fahrlässig mit den Login- 
Daten des Chats umgegangen sein: So 
seien die Informationen unverschlüsselt 
gespeichert worden und über eine öf- 
fentliche URL zugänglich gewesen sein. 
Kreditkartendaten hatten die Nutzenden 
offenbar nicht hinterlegt. 


6.000 Nut- 
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YouPorn hat den Chat inzwischen 
abgeschaltet, betont aber, für die 4,75 
Millionen regulär angemeldeten User 
bestehe keine Gefahr, sofern sie sich 
nicht für das Chatforum registriert hät- 
ten. Bereits eine Woche zuvor war die 
YouPorn-Mutterfirma Manwin in die 
Schlagzeilen geraten, als ein unbe- 
kannter Hacker Nutzernamen, E-Mail- 
Adressen und verschlüsselte Passwörter 
des Manwin-Sexportals Brazzers im 
Netz veröffentlicht und behauptet hat- 
te, insgesamt 350.000 Datensätze 
zu besitzen. Auch hier waren kei- 
ne Kreditkarteninformationen betrof- 
fen. Manwin hatte angekündigt, die 
NutzerInnen mit kostenlosen Brazzers- 
Zugängen zu entschädigen (www.sued- 
deutsche.de 23.02.2012). 


Frankreich 


Prominenter Staatsanwalt 
soll Journalisten bespit- 
zelt haben 


Der bekannte Staatsanwalt Philippe 
Courroye wurde am 17.01.2012 von 
einer Untersuchungsrichterin ein- 
bestellt, um die Einleitung eines 
Ermittlungsverfahrens mitgeteilt zu be- 
kommen, weil er Journalisten der Zeitung 
„Le Monde‘ ausspioniert habe. Es steht 
die Behauptung im Raum, dies sei auf 
Wunsch des Elysee-Palastes erfolgt, 
was jedoch das Präsidialamt bestreitet. 
Courroye wurde bekannt durch uner- 
schrockene Ermittlungen gegen Francois 
Mitterrands Sohn Jean-Christoph und den 
gaullistischen Spitzenpolitiker Charles 
Pasqua. Nun muss er sich verteidigen ge- 
gen den Vorwurf, „auf unerlaubte, un- 
lautere und betrügerische“ Weise private 
Daten ermitteltund das Kommunikations- 
geheimnis verletzt zu haben. Der 52jäh- 
rige Staatsanwalt sieht sich nun als 
Opfer „mörderischer Attacken“ und ei- 
ner „Menschenjagd“. Im Jahr 2010 führ- 
te Courroye Ermittlungen im Fall Liliane 
Bettencourt, in dem es u. a. darum ging, 
ob die Milliardärin Steuern hinterzogen 
und illegale Spenden an die UMP-Partei 
von Präsident Nicolas Sarkozy geleistet 
hat. Da Le Monde verblüffend gut über 
Details des Verfahrens informiert war, 
wollte Courroye herausfinden, aus wel- 
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chen Quellen das Blatt schöpfte. Es ließ 
ermitteln, mit wem drei Journalisten tele- 
foniert oder SMS ausgetauscht hatten. Als 
Quelle verdächtigt wurde eine Richterin, 
mit der Courroye verfeindet ist. 

Le Monde sieht in der Bespitzelung eine 
Verletzungdes Quellenschutzes und stellte 
Strafantrag. Bereits im Oktober2011leite- 
te die Justiz ein Ermittlungsverfahren ge- 
gen den Chef des Inlandsgeheimdienstes, 
Bernard Squarcini, ein. Im Dezember ent- 
schied der oberste Gerichtshofin Paris, die 
Sammlung der Telefondaten sei rechts- 
widrig gewesen. Nun muss Courroye 
mit strafrechtlichen Konsequenzen rech- 
nen. Kritiker werfen dem ehrgeizigen 
Staatsanwalt vor, im Amt den Interessen 
Sarkozys zu dienen. Er habe in diversen 
Verfahren Gefolgsleute des Präsidenten 
geschützt und auch in der Bettencourt- 
Affäre versucht, Schaden von Sarkozy 
abzuwenden. Der Beschuldigte be- 
streitet eine ungebührliche Nähe zum 
Präsidenten. Sarkozy selbst sagte, als er 
Courroye 2009 mit dem hohen Orden 
„Legion d’honneur“ auszeichnete: „Man 
wirft uns vor, einander zu kennen und 
sogar zu schätzen. Aber wären wir un- 
abhängiger, wenn wir verfeindet wä- 
ren?“ Courroye hat Einspruch gegen 
das Ermittlungsverfahren eingelegt. Er 
rechtfertigt sich damit, lediglich Telefon- 
verbindungsdaten, nicht aber den Inhalt 
von Gesprächen und SMS ausgeforscht 
zu haben. Damit sei der Quellenschutz 
nicht verletzt. Die Anwälte von Le Monde 
sehen das anders und fordern die gerichtli- 
che Klärung, wie weitsich JournalistInnen 
auf den Schutz ihrer Quellen verlassen 
können. Courroye konterte mit einem 
Zitat des Revolutionspolitikers Graf von 
Mirabeau: „Die Zeit, dieser unbestechli- 
che Richter, lässt allen Gerechtigtkeit zu- 
teil werden“ (Ulrich SZ 10.01.2012, 7). 


Großbritannien 


Rupert Murdoch 
schließt Vergleiche mit 
36 Abhöropfern 


Im „News-of-the-World“-Abhör- 
skandal hat sich Medienmogul Rupert 
Murdoch bzw. dessen Unternehmen 
„News International“ (NI) am 19.01.2012 
mit Dutzenden Opfern auf Vergleiche 


geeinigt (vgl. DANA 2/2012, 86 £.). Die 
Opfererhaltennach Presseangabeninsge- 
samt 645.000 Pfund (ca. 750.000 Euro). 
Dazu kommen Anwaltskosten, die um 
ein Vielfaches höher liegen dürften. Zu 
den Abhöropfern gehören Schauspieler 
Jude Law, Fussballspieler Ashley Cole 
und der ehemalige britische Vize- 
Premier John Prescott. Murdochs briti- 
sches Verlagsunternehmen News Group 
Newspapers, dem das inzwischen wegen 
der Abhöraktion eingestellte Boulevard- 
Blatt „News of the World‘ gehörte, ei- 
nigte sich bei einer Anhörung vor dem 
High Court in London mit den Opfern. 
Nach Angaben von Opferanwälten er- 
hielt Law die höchste Summe, näm- 
lich 130.000 Pfund Entschädigung. Die 
hohe Einzelsumme liegt daran, dass 
Laws Telefon auch gehackt wurde, als 
dieser sich in den USA befand. Die NI- 
Anwälte befürchteten wohl eine Klage 
in den USA, wo der Vergleich vermut- 
lich nicht so billig ausgefallen wäre. 
Law erklärte, ihm ginge es nicht ums 
Geld, sondern um die Wahrheit. Nun, 
da der Fall gerichtlich abgeschlossen 
sei, könne er sich endlich äußern.19 
Opfer ließen im Gericht Statements ver- 
lesen. Laws Anwalt schilderte für sei- 
nen Mandanten: „Kein Aspekt meines 
Privatlebens war sicher.“ Seine Kinder 
und seine Mitarbeitenden seien bespit- 
zelt worden, sein Haus permanent beob- 
achtet und er konstant verfolgt. Obwohl 
er seine Handys fortlaufend wechselte 
und sein Haus auf Wanzen überprüfen 
ließ, gelangten private Informationen in 
die Murdoch-Presse: „Ich fing an, denen 
zu misstrauen, die mir nahestanden.“ 
News Group Newspapers gab zu, 
zwischen 2003 und 2006 insgesamt 16 
Artikel über Law in der „News of the 
World“ veröffentlicht zu haben, die 
auf über Abhörmaßnahmen erlangten 
Informationen basierten. Zudem sei der 
Schauspieler physisch überwacht wor- 
den, und zwar „wiederholt und anhal- 
tend“. Der Verlag gab ebenfalls zu, dass 
„Ihe Sun“ illegal erlangte Informationen 
über Laws Privatleben genutzt hat, 
machte aber keine weiteren Angaben. 
Laws Anwalt erklärte vor Gericht, das 
Vorgehen der Boulevardzeitung habe 
„erheblichen Kummer, Misstrauen und 
Argwohn“ verursacht. Frost erklärte, 
sie und Law hätten begonnen, einan- 
der zu misstrauen. Law war einer von 
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60 Menschen, die gegen den Murdoch- 
Konzern geklagt haben. 

DenAspekt „Misstrauen“ betonten vie- 
le Opfer. Da sie sich nicht erklären konn- 
ten, wie die privatesten Informationen 
an die Öffentlichkeit gelangten, be- 
schuldigten sie Freunde und Familie. 
Die Schauspielerin Sienna Miller er- 
zählte zuvor einem Untersuchungs- 
ausschuss, wie sie zwei Verwandte 
und zwei Freunde zusammenrief und 
schwer beschuldigte, und wie sie sich 
heute schäme, ihnen misstraut zu ha- 
ben. Neben Law wurde mit 35 weite- 
ren Opfern eine Vergleichszahlung ver- 
einbart. Sie erhielten im Schnitt mehrere 
zehntausend Pfund. So soll Laws Ex- 
Frau, die Schauspielerin Sadie Frost, 
50.000 Pfund Entschädigung erhal- 
ten. Auch der frühere Geliebte der ver- 
storbenen Prinzessin Diana, James 
Hewitt, die australische Sängerin Dannii 
Minogue und der walisische Rugbystar 
Gavin Henson sowie Schauspielerin 
Sienna Miller werden vom Murdoch- 
Konzern entschädigt, ebenso wie der 
Fußballer Ashley Cole, der ehemalige 
Vizepremier John Prescott, verschiede- 
ne Parlamentsabgeordnete und ein an- 
onymer Mann, der überwacht wurde, 
weil er mit einer Prominenten liiert war. 

Nach jeder Erklärung erhob sich der 
Anwalt von News Group und entschul- 
digte sich im Namen des Unternehmens 
für die durch die illegalen Aktivitäten 
verursachten Schaden und Kummer. Die 
Vergleichssummen kommen aus einem 
Entschädigungstopf, den NI nach dem 
Abhör-Skandal eingerichtet hat. Der 
Medienkonzern möchte sich mit den 
Abhör-Opfern außergerichtlich verglei- 
chen und so kostspielige Prozesse ver- 
meiden. Im Juli 2011 war herausgekom- 
men, dass Journalisten der „News of the 
World“ jahrelang Handymailboxen von 
Prominenten und Angehörigen getöteter 
Soldaten sowie von Kriminalitätsopfern 
abgehört hatten. Die Affäre führte nicht 
nur zur Einstellung des Blatts, son- 
dern auch zum Rücktritt von Vertrauten 
Murdochs und hoher Polizisten. Auch 
Premier David Cameron geriet unter 
Druck, weil er den ehemaligen „News 
of the World“-Chefredakteur Andy 
Coulson als Sprecher beschäftigt hat- 
te. Für Rupert Murdoch und NI ist die 
Sache noch längst nicht erledigt. Laut 
Scotland Yard wurden 800 Personen sy- 
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stematisch abgehört. Insgesamt gibt die 
Polizei an, dass „News of the world“ 
die Telefone von 5.795 Menschen ab- 
gehört hat. Sie alle könnten Geld von 
Murdochs Konzern fordern (Zaschke SZ 
09.12.2011, 17; www.persoenlich.com 
19.01.2012; Zaschke SZ 20.01.2012, 
15). 


Großbritannien 


Ziviler Streifenpolizist 
jagte sich per 
Videofahndung selbst 


Im Januar 2012 jagte sich in der sü- 
denglischen Grafschaft Sussex ein 
Polizist mit Hilfe von Kameras für 
etwa 20 Minuten selbst. Sein Kollege 
an den Monitoren hatte ihn nicht er- 
kannt und fand sein Verhalten sehr auf- 
fällig. Der beobachtete Mann verhalte 
sich dringend tatverdächtig. Er gab sei- 
nem Kollegen in Zivil per Funk durch, er 
habe jemanden gesichtet, der sich auffäl- 
lig benahm. Leider bemerkte der Polizist 
auf Probe nicht, dass er dabei seinen ei- 
genen Kollegen ins Visier genommen 
hatte. Dem Mann auf Fußstreife wurde 
mitgeteilt, der Verdächtige würde sich 
sehr schnell bewegen. Der Polizist an 
den Monitoren nahm an, ein mutmaßli- 
cher Täter befände sich nach getätigtem 
Einbruch in einem der Läden der Stadt 
auf der Flucht. Die Geschwindigkeit 
des Mannes war nicht verwunderlich, 
denn der Läufer war der Zivilermittler 
höchst selbst. Es dauerte etwa zwan- 
zig Minuten, bis sein Vorgesetzter den 
Kontrollraum betrat, den angeblichen 
Täter erkannte und hysterisch zu lachen 
begann. So klärte sich auch, weshalb der 
Streifenpolizist den Flüchtigen trotz der 
Funkdurchsagen seines Kollegen nie se- 
hen konnte. Die „Operation Fehltritt“ 
wurde von einem Polizeimagazin veröf- 
fentlicht, welches die näheren Umstände 
und die Namen der Beteiligten zu deren 
Schutz verschwieg. Der Vorgesetzte wird 
damit zitiert, der neue Kollege sei wohl 
etwas übereifrig gewesen. Dennoch sei 
er froh über jede Gelegenheit, wenn er 
bei seinem anstrengenden Beruf auch 
mal einen Grund zum Lachen habe 
(Sobira]  www.gulli.com/news/18091 
09.02.2012). 


Griechenland 


Internetpranger für 
Steuersünder 


Das griechische Finanzministerium in 
Athen hat nach längerer Vorwarnung und 
Debatten zum Datenschutz am Abend 
des 22.01.2012 eine 100 Seiten lange 
Liste der SteuersünderInnen des Landes 
ins Internet gestellt unter Angaben 
von 4.152 Namen und den jeweili- 
gen Summen von deren Steuerschuld. 
Die vom Finanzminister Evangelos 
Venizelos „Liste der Schande“ ge- 
nannte Aufzählung beginnt mit ei- 
nem gewissen Nikolaos Kasimatis, zu 
dem 952.087.781,55 Euro Schulden 
angegeben sind. Zu den schwar- 
zen Schafen gehören KünstlerInnen, 
UnternehmerInnen, Geschäfts- und 
Privatleute. Ganz große Namen sind 
nicht zu finden. Die Regierung hatte 
den SchuldnerInnen am 14.11.2011 eine 
zehntägige Frist gesetzt zur Begleichung 
der Außenstände bei den Finanz- und 
Zollämtern. Zudem wurden in den vor- 
angegangenen zwei Monaten ca. 90 zum 
Teil prominente UnternehmerlInnen fest- 
genommen, die dem Staat beachtliche 
Summen schulden. Mit diesen spekta- 
kulären Aktionen wollten die Behörden 
offensichtlich nach langer Untätigkeit 
Entschlossenheit demonstrieren. 

Die auf der „Liste der Schande“ aufge- 
führten Beträgesummierensichaufknapp 
15 Mrd. Euro. Einige der Genannten 
sitzen bereits im Gefängnis; betroffe- 
ne Unternehmen sind insolvent oder in 
Prozesse verwickelt. In Griechenland 
sollen 165.000 Steuerverfahren vor den 
Gerichten anhängig sein. Die „Task 
Force Griechenland“, die im Auftrag 
der EU-Kommission der Regierung in 
Athen bei der Bürokratiereform helfen 
soll, hat die ausstehenden Steuern aus 
den vergangenen Jahren auf 60 Mrd. 
Euro beziffert. Eingerechnet sind da- 
bei aber auch die extrem hohen Strafen, 
die in Griechenland verhängt werden, 
wenn eine Steuerhinterziehung be- 
kannt wird. Ein großes Problem lag bis- 
her in der teilweisen Unfähigkeit und 
Unwilligkeit, Steuern und Abgaben ein- 
zutreiben. Hierzu fehlt es auch am nö- 
tigen Werkzeug. Die Datenverarbeitung 
steckt in diesem Bereich in den Kinder- 
schuhen (Schlötzer SZ 24.01.2012, 2). 
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Tschechien 


Verfassungsgericht 
verwirft erneut 
Vorratsdatenspeicherung 


Das Verfassungsgericht der Tsche- 
chischen Republik hat am 04.01.2012 
erneut ein Urteil gegen die Vorrats- 
datenspeicherung gesprochen. Bereits 
im März 2011 hatte das oberste Gericht 
das dortige Umsetzungsgesetz der EU- 
Richtlinie annulliert und damit die 
Verpflichtung der Provider zur sechs- 
monatigen Speicherung der Daten auf- 
gehoben. Wie in Deutschland spei- 
chern einige Provider Verbindungs- und 
Bewegungsdaten weiter, auch wenn die- 
se nicht für Rechnungszwecke benötigt 
werden. Im aktuellen Urteil wurde $ 88a 
der tschechischen Strafprozessordnung 
annulliert, worin geregelt war, wie die- 
se Daten zu Ermittlungen übermittelt 
und verwendet werden dürfen. Das er- 
scheint dem Gericht zu allgemein sowie 
nicht verhältnismäßig und damit ver- 
fassungswidrig. Die Regelung verstoße 
auch gegen das Recht auf Privatsphäre 
und informationelle Selbstbestimmung 
(Meister netzpolitik.org 05.01.2012). 


Schweiz 


Stadt Basel hat ein neues 
Informations- und Daten- 
schutzgesetz 


Am 01.01.2012 ist im schweizer 
Kanton Basel-Stadt ein neues Gesetz über 
die Information und den Datenschutz 
(Informations- und Datenschutzgesetz - 
IDG) in Kraft getreten. Mit dem Gesetz 
wird zugleich erstmals in der Stadt Basel 
ein „Anspruch auf Zugang zu den bei ei- 
nem öffentlichen Organ ... vorhandenen 
Informationen“ ($25 Abs. 1 IDG) eröffnet. 
Dieses Gesetz verwirklichteine vor Jahren 
auch in Deutschland verfolgte Idee: die 
Vereinigung des Informationszugangs- 
und des Datenschutzrechtes in einem 
Gesetz. Dabei werden die Zugangs- und 
die Datenschutzregelungen nicht ein- 
fach hintereinander gestellt, sondern mit- 
einander verbunden: Nach allgemeinen 
Bestimmungen (Gegenstand, Zweck, 
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Geltungsbereich, Begriffe) werden „all- 
gemeine Grundsätze für den Umgang mit 
Informationen“ festgelegt (u. a. Trans- 
parenzprinzip, Verantwortung, Auf- 
tragsdatenverarbeitung, Informations- 
sicherheit). Ab $ 9 IDG sind dann die 
„Grundsätze für den Umgang mit Per- 
sonendaten“ festgelegt, ab $ 20 die 
„Bekanntgabe von Informationen“, wo- 
bei der generellen Informationsaufgabe 
von öffentlichen Stellen die datenschutz- 
rechtlichen Übermittlungsregelungen 
und dann die Veröffentlichung des 
Verfahrensverzeichnisses folgen. Unter 
Informationszugangsrechte sind der 
jeder Person zustehende Zugang zu Ver- 
waltungsdaten normiert, der Auskunfts- 
anspruch zu den eigenen Personendaten 
sowie die datenschutzrechtlichen Kor- 
rekturansprüche. Die „kantonale Auf- 
sichtsstelle“ wird vom „Datenschutz- 
beauftragten“ geleitet bzw. unter diesem 
Namen betrieben ($$ 37 ff. IDG). 

Damit wird in der Schweiz ein an- 
derer Weg gegangen als in Europa, 
wo kürzlich mit dem Entwurf ei- 
ner Datenschutzgrundverordnung die 
Trennung des Datenschutz- und des 
Informationszugangsrechts zemen- 
tiert wird. Die Kombination der beiden 
Bereiche ist kein basler Unikat, son- 
dern wurde zuvor schon in Solothurn, 
Zürich, Aargau, Schwyz und im Wallis 
realisiert. Interessant ist für unser bisher 
begrenztes Verständnis, das mehr oder 
weniger im „Recht auf informationelle 
Selbstbestimmung“ fokusiert, der in $ 1 
Abs. 2 normierte Gesetzeszwecke: „,... das 
Handeln der öffentlichen Organe trans- 
parent zu gestalten und damit die freie 
Meinungsbildung und die Wahrnehmung 
der demokratischen Rechte zu fördern, 
soweit nicht überwiegende öffentliche 
oder private Interessen entgegenstehen 
und die Grundrechte von Personen zu 
schützen, über welche die öffentlichen 
Organe Personendaten verarbeiten.“ 
Damit wird sowohl die gesellschaftliche 
Funktion der Regelungen wie auch ein 
umfassender digitaler Grundrechtsschutz 
zum Gesetzeszweck erklärt. Äußerst 
empfehlenswert und verständlich sind 
auch die gewählten Formulierungen, 
die sich ohne Redundanzen und 
Wiederholungen auf das Wesentliche be- 
schränken und leicht verständlich sind, 
ohne dabei beliebig oder unklar zu sein 
und ohne das Schutzniveau abzusenken. 


Soweit zu einzelnen Regelungen weiterer 
Präzisierungsbedarf besteht, wurde der 
durch den Regierungsrat des Kantons in 
einer „Verordnung über die Information 
und den Datenschutz“ (Informations- und 
Datenschutzverordnung - IDV) festge- 
legt, die auch am 01.01.2012 in Kraft trat. 
Auf einer Tagung „Öffentliche Infor- 
mationenundoffeneDaten“am20.01.2012 
beschrieb der Datenschutzbeauftragte des 
Kantons Basel-Stadt Beat Rudin den Weg 
dieses Gesetzes: Ein Datenschutzgesetz 
gab es im Kanton seit 1993. 2006 wur- 
de das Öffentlichkeitsprinzip in der 
Verfassung des Kantons verankert. Dass 
es dann doch noch über 5 Jahre dauerte, 
dass das Prinzip zum Gesetz wurde, ist 
einer intensiven Diskussion zuzuschrei- 
ben. Eine aktive Veröffentlichungspflicht 
bezieht sich bisher ausschließlich auf 
Regierungsratsbeschlüsse. Die Beiträge 
auf der Tagung zeigten, dass der 
Anspruch auf Informationszugang zu 
Verwaltungsdaten bisher nur sehr zu- 
rückhaltend in Anspruch genommen 
wird. Eine Erklärung hierfür war, dass 
in der Schweiz durch die Instrumente 
der direkten Demokratie ohnehin eine 
starke Partizipation erfolgt und ein star- 
kes Vertrauen in die Verwaltung be- 
steht. Es bestand aber Einigkeit, dass der 
Informationsanspruch die demokratische 
Partizipation und das Vertrauen in die 
Verwaltung stärkt und nicht behindert. Es 
wurde zudem klar, dass das IDG nur ein 
Zwischenschritt ist; Einigkeit bestand, 
dass das Ziel und der politische Auftrag 
sei, ein „Open Government Data“ zu 
realisieren, also eine umfassende akti- 
ve Informationspolitik der öffentlichen 
Verwaltung (Thilo Weichert). 


Israel 


Saudische Hacker veröf- 
fentlichen Daten israeli- 
scher Kreditkarten 


EinesaudischeHacker-Gruppe „group- 
xp“ bekannte sich zur Veröffentlichung 
von Namen, Adressen, Telefonnummern 
und Karten-Details Tausender Israelis 
im Internet. Die israelische Zentralbank 
bestätigte, dass es sich um etwa 15.000 
Karten drei verschiedener Firmen han- 
dele. Die Unternehmen hätten die be- 
troffenen Kreditkarten bereits identifi- 
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ziert und blockiert. Die Karteninhaber 
sollten für den Betrug nicht haften. Der 
Kartendienstleister Isracard betonte in 
einer Mitteilung, dass die meisten der 
entwendeten Daten entweder falsch oder 
ungültig seien. Der Hackerangriff löste 
in Israel eine Sicherheitsdebatte aus; die 
Regierung verglich die Aktion mit ei- 
nem Terrorangriff. Die Veröffentlichung 
erfolgte am 02.01.2012 auf der israeli- 
schen Sport-Netzseite One.co.il. Über 
einen Link konnten die Informationen 
auf Pastebay.com gelesen werden. Erst 
im November zuvor war es in Israel zu 
einer schweren Computerpanne gekom- 
men. Die Websites mehrerer Regierungs- 
und Sicherheitsorganisationen waren 
nach einem Totalabsturz stundenlang 
lahmgelegt. Die internationale Hacker- 
Organisation Anonymous hatte der is- 
raelischen Regierung zuvor mit ei- 
nem Angriff gedroht. Die israelischen 
Behörden dementierten jedoch damals 
Berichte über eine Hacker-Attacke und 
erklärten den Vorfall mit einem techni- 
schen Fehler (www.zeit.de 03.01.2012; 
www.heise.de 04.01.2012). 


USA 


Neue Gesetze zur 
Internetkontrolle 


Ein Gesetzentwurf im US-Parlament 
sieht vor, dass Firmen profitieren sol- 
len, wenn sie Nutzerdaten an Behörden 
liefern. Sie bekämen Geheimdienst- 
Informationen zu Cyberattacken. Zwar 
hat der Entwurf zum Stop Online 
Piracy Act, kurz SOPA, nach hefti- 
gem Protest aus der Industrie und der 
Bevölkerung wenig Chancen, ohne grö- 
ßere Änderungen durch den Kongress 
zu kommen. Ein anderer Gesetzentwurf, 
für das freie Internet genauso bedroh- 
lich, könnte dagegen die parlamentari- 
schen Hürden schaffen. 

Der Entwurf heißt Cyber Intelligence 
Sharing and Protection Act. Das Gesetz 
soll den Austausch von Informationen 
zwischen Regierungsbehörden wie dem 
FBI und Computerfirmen wie Microsoft 
erleichtern, um US-Unternehmen besser 
vor Cyber-Spionen zu schützen. Nach 
Einschätzung von BürgerrechtlerInnen 
wie der American Civil Liberties Union 
(ACLU) würde es zugleich die bishe- 
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rigen Bestimmungen zum Schutz der 
Privatsphäre weitgehend aushebeln. 
Wegen der ungenauen Formulierungen 
ist unklar, was unter „Information“ 
oder unter „Cyber-Sicherheit“ zu ver- 
stehen ist. Die im Gesetzestext enthal- 
tenen Definitionen sind so weit gefasst, 
dass nahezu alles darunter fällt. Nach 
Einschätzung des Center for Democracy 
& Technology (CDT) dürften Firmen 
wie Facebook, Twitter oder Google 
dann ohne jede richterliche Anordnung 
die Anmelde-Daten ihrer NutzerInnen 
an das FBI, die CIA oder die US-Armee 
weitergeben. Schließlich diene die 
Anmeldung am jeweiligen Konto ja dem 
Schutz des Systems. 

Da Netzbetreiber routinemäßig den 
gesamten Datenverkehr auf mögliche 
Bedrohungen und versteckte Angriffe 
hin scannen würden, dürften sie laut 
dem CDT den kompletten Datenverkehr 
weiterreichen. Unternehmen wie AT&T, 
Verizon oder T-Mobile dürften nicht 
nur mitteilen, wer wann unter wel- 
cher IP-Adresse online war, sie dürften 
auch den Inhalt der über ihre Netze ver- 
schickten Nachrichten ohne richterliche 
Anordnung an die Regierung weiterge- 
ben, sofern sie diesen einsehen können. 
Firmen dürften die Daten sogar unter- 
einander austauschen. Die NutzerInnen 
hätten dagegen keinerlei Handhabe. 
Denn mit dem Gesetz würde die US- 
Regierung den Firmen im Tausch für die 
Daten Immunität garantieren, also einen 
Schutz vor Klagen. 

Die einzige Hoffnung für Ver- 
braucherInnen ist, dass die Firmen die 
Daten nicht weitergeben müssen, son- 
dern nur dürfen. Doch auch dafür haben 
die beiden Abgeordneten, die das Gesetz 
vorgelegt haben, eine Lösung: Behörden 
können mit dem Gesetz Firmen beloh- 
nen, die bereitwillig Daten tauschen. 
Als Bonus winkt die Registrierung 
als Cyber-Security-Firma. An diese 
Unternehmen dürfen die Regierungs- 
behörden dann Geheimdiensterkennt- 
nisse aus dem Cyberwar weitergeben. 
Microsoft könnte etwa über Schwach- 
stellen im Betriebssystem Windows 
informiert werden, das Softwarehaus 
Symantec über neue Viren. Den Unter- 
nehmen winken mit der Registrierung 
also wertvolle Informationen, aus denen 
sich auch Profit schlagen lässt. Zudem 
wären die registrierten Firmen vermut- 


lich die ersten Ansprechpartner, wenn es 
um den Schutz der Computernetzwerke 
der US-Regierung geht. Die Regierungs- 
behörden dürften die Daten laut dem 
Gesetzentwurf nicht nur benutzen, um 
Cyber-Spione zu verfolgen. Die Daten 
dürfen auch verwendet werden, wenn 
die nationale Sicherheit — etwa durch 
Plattformen wie WikiLeaks - bedroht ist. 
Zudem dürfen sie auch zur Verfolgung 
ganz gewöhnlicher Straftaten verwen- 
det werden, wenn der Grund für ihre 
Weitergabe irgendwie mit der Cyber- 
Sicherheit zu tun hatte. 

Der Gesetzestext wurde Ende 
November 2011 vorgelegt und vom zu- 
ständigen Ausschuss bereits einen Tag 
später bei nur einer Gegenstimme ver- 
abschiedet. Da die Vorlage von einem 
demokratischen und einem republi- 
kanischen Abgeordneten gemeinsam 
vorgelegt wurde, stehen ihre Chancen 
nicht schlecht — auch wenn das Weiße 
Haus bereits angedeutet hat, dass den 
Beratern des Präsidenten das Gesetz zu 
weit geht. Ob sich Barack Obama mit- 
ten im Wahlkampf mit einem Veto an- 
greifbar machen würde, ist allerdings 
fraglich. Dafür müsste der Widerstand 
wesentlich größer sein. Um den zu or- 
ganisieren, fehlt angesichts des rasan- 
ten Tempos der Gesetzgebung und der 
prominenten Unterstützer wie Microsoft 
oder AT&T wohl die Zeit. 

Unternehmen wie Google oder Twitter, 
die den Cyber Intelligence Sharing and 
Protection Act ablehnen müssten, kon- 
zentrieren sich auf den Stop Online 
Piracy Act. Auch dieses Gesetz hat das 
Potential, das Internet grundlegend zu 
verändern. Mit ihm würde es möglich, 
ganze Seiten wie YouTube komplett 
vom Netz zu nehmen oder Internetseiten 
außerhalb der USA - wie WikiLeaks — 
finanziell auszutrocknen. Die Aktionen 
der Gesetzes-GegnerInnen zeigen erste 
Erfolge. Kurz bevor sich das Parlament 
in die Pause zu Thanksgiving verab- 
schiedete, riefen nach einem Aufruf der 
Blogging-Plattform Tumblr Aktivisten 
an einem Tag mehr als 87.000 Mal 
ihre Abgeordneten an, um gegen das 
Gesetz zu protestieren. Auch unter den 
Abgeordneten wächst der Widerstand. 
Sowohl die demokratische Fraktions- 
Chefin Nancy Pelosi, als auch Tea-Party- 
Ikone Ron Paul haben angedeutet, dem 
Stop Online Piracy Act in seiner jetzi- 
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gen Form nicht zuzustimmen. Mit die- 
sen mächtigen Gegnern dürfte sich das 
Gesetz also zumindest verzögern (Kraft 
www.zeit.de 05.12.2011). 


USA 


Handy-Bewegungsprofile 
in US-Einkaufszentren 


In den USA werden zum Zweck der 
KundInnenbeobachtung Handydaten 
ausgewertet. Zwei Einkaufszentren ha- 
ben damit begonnen, die Bewegungen 
ihrer KundInnen anhand von Handy- 
Standortdaten zu erfassen. In den 
Malls Promenade Temecula im 
Süden Kaliforniens und Short Pump 
Town Center in Richmond im 
Bundesstaat Virginia sind seit dem 
25.11.2011 Scanner installiert, die die 
Gerätekennung von Mobiltelefonen re- 
gistrieren und speichern. Beide Malls 
gehören zu Forest City, einem amerika- 
nischen Immobilienunternehmen. Das 
erklärte, der Einsatz der Scanner sei ein 
Test, um Kundenbewegungen zu beob- 
achten und „das Einkaufserlebnis zu ver- 
bessern“. 

Die vom Unternehmen eingesetzte 
Technologie nennt sich Footpath und 
stammt von einer britischen Firma na- 
mens Path Intelligence. Forest City 
versichert, dass Datenschutz und 
Anonymität bei dem Verfahren ge- 
wahrt blieben. Weder Forest City noch 
Path Intelligence teilen jedoch mit, wel- 
che Daten der Kundenhandys sie ge- 
nau speichern: „Die Geräte registrie- 
ren Signale der Mobiltelefone der 
Kunden und versenden diese Daten, da- 
mit sie ausgewertet werden können. Die 
Technik sammelt keine persönlichen 
Informationen oder Telefonnummern.“ 
Die Scanner registrieren wahrschein- 
lich die Identifizierungsnummer der 
SIM-Karte, die sogenannte IMSI. 
Dafür spricht, dass Path Intelligence 
die Nationalität der Kunden kennt 
und diese Information ebenfalls als 
Auswertungsmerkmal anbietet. Denn 
die IMSI soll Mobilfunkkunden ein- 
deutig identifizierbar machen — welt- 
weit. Sie enthält dazu unter anderem 
eine Länderkennung, der Code 262 steht 
beispielsweise für Deutschland. Jede 
Nummer wird auch nur einmal verge- 
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ben und lässt sich theoretisch zu einem 
Mobilfunkvertrag zurückverfolgen. 

Beide Unternehmen versichern, sie 
seien an der Identität der Menschen 
nicht interessiert. Trotzdem sind solche 
Datenbanken ein Risiko und interessant 
für Hacker, Kriminelleund Strafermittler. 
Problemlos lassen sich Gesichter mit 
den jeweiligen Handystandorten ver- 
knüpfen. In solchen Shoppingcentern 
ist Videoüberwachung allgegenwärtig. 
Unabhängig davon verraten die Daten 
viel über das Verhalten der KundInnen: 
Welche Geschäfte sind beliebt, welche 
Orte werden so oft frequentiert, dass 
Werbung dort besonders sinnvoll ist, 
welche Ecken werden nur kurz ange- 
steuert, in welcher Kombination wer- 
den verschiedene Läden besucht, zu 
welcher Uhrzeit? Problemlos lassen 
sich so Profile erstellen. Interessante 
Anwendungen sind denkbar, da die 
Computer wahrscheinlich jede KundIn 
nach wenigen Minuten Beobachtung ei- 
nem bestimmten Profil zuordnen kön- 
nen. Path Intelligence wirbt damit, dass 
der „Besuchertyp“ identifiziert werden 
könne, ob also jemand ein „Einkäufer“, 
ein „Angestellter“, „Hindurchläufer“ 
oder ein „Muse-Suchender“ sei. 

Diese Profile können für gezieltes 
Marketing genutzt werden, etwa in- 
dem den Menschen entsprechende 
Botschaften auf ihre Handys geschickt 
werden. Mit der Technik ist auch eine 
Beeinflussung des Kaufverhaltens vor- 
stellbar. Jene beispielsweise, die als 
schlechte KundInnen _ identifiziert 
werden, bekämen dann eben keine 
Sonderangebote präsentiert und nicht 
die Chance, irgendwo einen Rabatt zu 
erhalten. Die Scanner registrieren auch, 
ob Handybesitzende wiederkommen. 
Der Anbieter wirbt auf seiner Website 
damit, dass unter anderem die „frequen- 
cy of visits“ gemessen werden könne, 
die Häufigkeit also, in der eine KundIn 
die Geschäfte besucht. 

Schon das ohne Anlass vollständige 
Erfassen der IMSI in einem Gebiet ist 
nach deutschem Datenschutzrecht ein 
Grundrechtseingriff. Die Speicherung 
über einen unbekannten Zeitraum zu 
einem letztlich unbekannten künftigen 
Zweck macht das Problem noch schlim- 
mer. Auch in den USA regt sich leiser 
Widerstand. Das Wirtschaftsmagazin 
Forbes kommentierte, das Ganze „rie- 


che irgendwie illegal“. Die USA sind 
übrigens nicht der Vorreiter bei einer 
neuen Überwachungstechnologie. CNN 
berichtete, die Scanner der britischen 
Firma seien bereits in Einkaufszentren 
in Europa und Australien eingesetzt wor- 
den. Den KundInnen bleibt die Hoffnung, 
dass sie das kleine Hinweisschild am 
Eingang bemerken und ihr Handy recht- 
zeitig ausschalten. Auch in Europa fin- 
den schon heute tendenziell vergleich- 
bare KundInnenanalysen statt: In 
IKEA-Filialen folgen MitarbeiterInnen 
ausgewählten KundInnen und beob- 
achten, wohin diese laufen und was sie 
sich anschauen. In Supermärkten te- 
sten Psychologen, welche Regalhöhen, 
Gangbreiten und Laufwege sinnvoll 
sind, um so viel wie möglich zu ver- 
kaufen. Geschäfte setzen Kameras ein, 
um Kunden beim Einkaufen auszuspä- 
hen. Auf Internetseiten ist weit verbrei- 
tet, dass Besuchende mit sogenannten 
Cookies verfolgt werden um festzu- 
stellen, was die Menschen anschauen 
(Biermann www.zeit.de 28.11.2011). 


USA 


Polizei von Los Angeles 
darf nicht in die Google 
Cloud 


September 2010 hatte Randi Levin, 
Chief Technology Officer und General 
Manager der Los Angeles Information 
und Technology Agency noch ange- 
kündigt: „Die Stadt Los Angeles wech- 
selt als eine der ersten Verwaltungen 
in die Cloud. Wir freuen uns über den 
erfolgreichen Abschluss und widmen 
uns nun dem finalen Übergang der fünf 
Dienststellen des Los Angeles Police 
Departments (LAPD).‘“ Dave Girourd, 
President of Enterprise, Google ergänz- 
te: „Google Apps ist die erste kom- 
plette Reihe von Cloud-Computing- 
Anwendungen mit der U.S. Government 
Security Certification. Los Angeles 
Mitarbeiter im Bereich öffentliche 
Sicherheit können zuversichtlich in die 
Cloud wechseln, da sie die größtmög- 
liche Sicherheit erhalten.“ Doch dazu 
kommt es nun aus Sicherheitsgründen 
nicht. Der Stadtrat hat den endgültigen 
Ausstieg für die Polizei beschlossen, da 
nach Medienberichten „die Regeln des 
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Criminal Justice Information System 
(CJIS) zurzeit nicht mit dem Cloud 
Computing vereinbar sind und E-Mail- 
Anwenderder Strafverfolgungsbehörden 
nicht migriert werden können“ (Viola 
www.egovernment-computing.de 
10.01.2012). 


USA 


„Identified“ — 

Menschenscoring 
und -rating für die 
Arbeitsplatzsuche 


Am 19.09.2011 wurde in den USA 
eine neue Berufssuchmaschine mit dem 
Namen „Identified‘“ als Betaversion 
veröffentlicht, die Menschen mit 
Scorewerten zwischen 0 und 100 bewer- 
tet, um Bewerbenden und Arbeitgebern 
die Arbeitssuche zu erleichtern. Identified 
ist das Kind von Brendan Wallace und 
AdeyemiAjao, zwei früheren Graduierten 
der Stanford Graduate School ofBusiness. 
Wallace hatte danach bei Goldman Sachs 
und bei der Blackstone Group gearbeitet. 
Ajao hatte Tuenti.com gegründet, das spa- 
nische „Facebook“, das im Juli 2010 von 
Telefonica für 100 Mio. Dollar erworben 
wurde. Die Idee für Identified entstand 
im Frühjahr 2010 aus der Frage: Welche 
Wirtschaftsausbildung ist besser, um ei- 
nen Job zu bekommen, die von Stanford 
oder die von Harvard? Wallace und Ajao 
meinten, dass sein soziale Netzwerk 
das wichtigste für eine Kandidatln ist, 
ein Unternehmen für sich zu interes- 
sieren. Sie sammelten für ihre Firma 
5,5 Mio. Dollar Gründungskapitel von 
Investoren, darunter von Googles frühe- 
rem CEO Eric Schmidt sowie anderen IT- 
Unternehmern und Wissenschaftlern wie 
Bill und Tim Draper, Alexander Tamas, 
Chamath Palihapitiya (Facebook), Joel 
Peterson und John Glynn (Stanford 
University). Nachdem Identified im 
Frühjahr 2011 als Test begann, wurden 
80% der Wirtschaftsstudierenden inner- 
halb von zwei Wochen dort Mitglied. Die 
Seite hatte damit aus dem Stand mehr 
Bewerbungsprofile verfügbar als das 
Stanford Karriere-Förderzentrum. 

Die zentrale Funktion von Identified 
ist die Vergabe von Scores an Personen 
in drei Bereichen: Berufsleben, Aus- 
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bildung und Soziale Netzwerke. Diese 
Informationen werden vorrangig aus den 
Profilen von Facebook generiert, weshalb 
die Menschen ermuntert werden, dortüber 
sich mehr Informationen einzustellen. 
Wallace und Ajao nennen ihr Verfahren 
auch „Google-Ranking für Menschen“. 
Je nach Suche werden die Betroffenen 
mit 0 bis 100 Punkten bewertet. Eine 
Person kann im Bereich „Beratung“ hoch 
und im Bereich „Technik“ niedrig ein- 
gestuft sein. Die Seite ging mit mehr als 
40 Millionen Personen, wovon die mei- 
sten nicht auf der Seite registriert wa- 
ren, 60.000 Unternehmen und 8.000 
Hochschulen an den Start. 

Zweck des Ranking und Scoring 
ist es, Unternehmen die geeignetsten 
KandidatInnen bei der Jobsuche an- 
zuzeigen. Identified kann auch von 
Arbeitssuchenden genutzt werden, um 
sich die bestbewerteten Unternehmen 
anzeigen zu lassen. Unternehmer und 
Arbeitsvermittler können z. B. nach 
TechnikerInnen suchen und erhalten 
eine Rangliste angezeigt, was vorteilhaf- 
ter sein soll als die bisher nicht bewerte- 
te Liste von LinkedIn. Das Unternehmen 
verlangt von den nutzenden Unternehmen 
zunächst einen geringfügigen, potenziell 
teureren Beitrag. Die Betroffenen kön- 
nen ihren Score im Vergleich zu denen 
ihrer „Freunde“ oder zu der Gruppe al- 
ler Erfassten, ihrer Schule oder ihres 
Unternehmens sehen. Angezeigt wird 
auch ein Aktivitätsmaß, etwa, dass das 
Unternehmen „Disney KandidatInnen 
zwischen 60 und 80 Punkten“ suchte. 

Identified greift die Idee einer neu- 
en Funktionalität von LinkedIn auf, 
die soziale Kontakte für Leute bei der 
Jobsuche nutzbar machen will. Es soll 
aber dabei nicht darauf ankommen, 
dass die Betroffenen bei dem Dienst 
selbst aktiv sind. Weiterhin besteht mit 
Branchout ein weiteres schnell wachsen- 
des Jobvermittlungs-Start-up-Netzwerk, 
das auf Facebook-Daten beruht. Nach 
Überzeugung von Wallace liefert aber 
Identified die besseren Rankings: „Das 
Problem ist, dass LinkedIn viele Daten 
auswirft. Wir dagegen sind eine wirk- 
liche Suchmaschine, die berufliche 
Informationen auf professionelle Weise 
liefert. Die besten Ergebnisse stehen 
oben.“ 

Identified zeigt den Score einer Person 
sichtbar auf der Seite. In der Testphase 


konnten die Menschen ihren Score 
nicht sehen und wussten zumeist gar 
nicht, dass ein solcher berechnet wird. 
Es wird sich zeigen, ob sich Personen 
gegen ihre Scores, vor allem niedrige, 
zur Wehr setzen werden. Wallace be- 
hauptet, dass die Zahl der bei Identified 
eingehenden Informationen zu einem 
Ansteigen des Scores führt: „Wir wollen 
den Nutzenden die Möglichkeit geben, 
ihre Scores zu organisieren und zu kon- 
trollieren. Ich behaupte nicht, dass eine 
Person die beste wäre. Es gibt zwar ei- 
nen übergreifenden Score, aber auch un- 
terschiedliche Scores für unterschiedli- 
che Kategorien.“ 

Identified wertet auch Freundes- 
Informationen aus und berechnet Scores 
von nicht bei Identified registrierten 
Menschen. Die 40 Millionen Profile 
zum Start des Angebots stammen weit- 
gehend von den Facebook-Seiten der 
Betroffenen. Die Profile von registrier- 
ten Nutzenden werden veröffentlicht 
und als Suchergebnisse angezeigt, wäh- 
rend Profile von Nichtregistrierten nur 
von registrierten Identified-Nutzenden 
eingesehen werden können. Damit will 
das Unternehmen Menschen ermutigen, 
Mitgliedzuwerden. DieMitgliederfinden 
die Scores und Profile aller 40 Milllionen 
Menschen sowie von Unternehmen 
und Universitäten; Nichtmitglieder se- 
hen nur die Mitgliederprofile sowie 
Unternehmen und Universitäten. 

Nach Angaben von Wallace entwickelt 
Identified seine Kriterien regelmäßig 
weiter, um die Angaben zum Hintergrund 
von Leuten, zu Berufstätigkeiten und zur 
Ausbildung differenziert in die Scores 
einfließen zu lassen. Mit den Scores aus 
den Aktivitäten bei Social Communities 
soll es möglich sein, die Ausbildung auf 
einer unbekannten Schule zu kompen- 
sieren. Wallace behauptet, dass hunderte 
von Unternehmen die Seiteerprobthaben 
und mit den Ergebnissen zufrieden wa- 
ren. Die Scores seien keine Beurteilung 
von Menschen, sondern lediglich die re- 
levantesten Ergebnisse für eine Suche: 
„Menschen und Unternehmen entschei- 
den auf der Basis von Priorisierungen. 
Deshalb lieben sie unsere Rankings.“ 

Unklar ist, wie die Aktivitäten in 
Social Communities von Identified be- 
wertet werden. Wichtig ist nach Ansicht 
von Wallace und Ajao, ob ein Kandidat 
jemanden in dem Unternehmen oder 
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das Unternehmen schon kennt oder sich 
hierfür - zum Beispiel wegen Freunden - 
dafür interessiert. Ein anderer Indikator 
sei, das jemand in einem bestimmten 
Bereich engagiert ist, weil er Freunde aus 
diesem Bereich hat. Gemäß Ajao kommt 
es nicht auf die Zahl der Verbindungen 
bei Facebook an, sondern darauf, wie 
die Beziehungen zu den besser bewerte- 
ten KandidatInnen sind. Dazu kann ge- 
hören, ob sie die gleiche Schule besuch- 
ten, gemeinsam in einer Firma oder in 
einem Team arbeiteten, gegenseitig auf 
ihren Seiten Kommentare einstellten 
und Ähnliches. 

Harvard wird höher eingestuft als 
Stanford, weil bei einer Bewertung die 
Unternehmen aller Absolventinnen 
von Harvard besser abschneiden als 
die mit Studierenden aus Stanford. Auf 
der Seite können BesucherInnen nach- 
schauen, welche Freunde von ihnen in 
einem Unternehmen arbeiten, von wel- 
chen Schulen die Beschäftigten des 
Unternehmens kommen, wo sie vorher 
und nachher beschäftigt waren und wie 
es im Vergleich zu anderen Unternehmen 
steht. Hunderte Unternehmen nutzen 
inzwischen die Seite, z. B. Barclays, 
McKinsey, Google, Disney, Sequioa 
Capital, Levi Strauss und MTW. 
Wallace und Ajao erwarten, dass ihre 
Seite schnell weiterwachsen wird. Ihr 
Dienst sei nicht nur für die Jobsuche 
nützlich, sondern auch für andere wirt- 
schaftliche Zwecke (Geron www.forbes. 
com 19.09.2011: „Identified launches its 
People-Ranking“; Weichert News www. 
datenschutz.de 20.12.2011). 


USA 


Staatsanwältin zwingt zu 
mehr Transparenz bei 
Smartphones 


Kaliforniens Generalstaatsanwalt- 
schaft hat Apple, Google, Microsoft, den 
Blackberry-Anbieter RIM, Amazon und 
Hewlett-Packard zu mehr Transparenz 
bei Apps für Smartphones verpflichtet. 
Rund 600.000 Apps vertreibt Apple der- 
zeit für seine iPhone- und iPad-KundIn- 
nen, etwa 400.000 bietet der Konkurrent 
Google für Androidgeräte an - ein rie- 
siger Markt, der stetig wächst. Und ein 
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massives Problem für den Datenschutz. 
Am 22.02.2012 verkündete Kaliforniens 
Generalstaatsanwältin Kamala Harris 
den Abschluss einer Vereinbarung, wo- 
nach künftig jede App, die die sechs 
Internetkonzerne anbieten, bestimm- 
te  Datenschutz-Standards erfüllen 
muss. So sollen die NutzerInnen dar- 
über informiert werden, welche Daten 
mit dem Download von ihnen gesam- 
melt und wozu sie verwendet wer- 
den. Das geschehe bisher nur in den 
seltensten Fällen, monierte Harris. 
Außerdem soll festgeschrieben werden, 
an welcher Stelle die Nutzer die jewei- 
ligen Datenschutzbestimmungen des 
Anbieters finden. 

Apps sind Anwendungen für Smart- 
phones. Um mit ihrer Hilfe zum Beispiel 
mit Freunden zu chatten, benötigen 
Apps Zugriff auf private Daten. Das 
muss normalerweise zuvor erlaubt wer- 
den. Das Auslesen von Adressdaten ist 
auf dem iPhone wie auch auf Android- 
Smartphones möglich. Anders als bei 
Apple erfordert Googles Betriebssystem 
die Zustimmung des Nutzers. Gefährlich 
ist das heimliche Auslesen der Daten. 
Dubiose App-Entwickler bieten ver- 
meintlich attraktive Anwendungen 
kostenlos und verkaufen nach der 
Installation die ausgespähten Daten. 
Harris will binnen sechs Monaten si- 
cherstellen, dass sich die NutzerInnen 
auf den Plattformen der Giganten über 
die Datenschutz-Bedingungen der ein- 
zelnen Anwendungsprogramme in- 
formieren und Apps, die gegen die 
Richtlinien verstoßen, melden können. 
Die Firmen wiederum verpflichten sich, 
solche Meldungen umzusetzen und die 
Entwickler der Programme zu kontrol- 
lieren. 

Der Datenschutzbeauftragte von 
Schleswig-Holstein, Thilo Weichert, 
zeigt sich von der US-amerikanischen 
Einigung wenig beeindruckt: „Die 
Vereinbarung ist ein erster richtiger 
Schritt, aber sie bleibt weit hinter dem 
zurück, was aus europarechtlicher 
Sicht selbstverständlich sein sollte.“ 
Es sei „unbefriedigend“, dass die USA 
als Sitz der großen Internetkonzerne 
solch „unzureichende“ Datenschutz- 
Standards setzten - auch weil „die 
Bundesregierung sich als absolut un- 
fähig erweist“, hier etwas zu tun. Nach 
europäischem Recht seien die Anbieter 


von Anwendungsprogrammen nicht 
nur zur Information verpflichtet. Sie 
müssten den Nutzenden eine Wahl las- 
sen. Diese müssten die Möglichkeit 
haben, eine App zu nutzen, ohne an- 
dere Daten als die für den Dienst not- 
wendigen preiszugeben: „Der Daten- 
missbrauch über solche Anwendungen 
ist ein Riesenproblem, das immer mehr 
überhand nimmt und das wir noch nicht 
einmal ansatzweise in den Griff bekom- 
men haben.“ Die Aufsichtsbehörden 
müssten mehr Ressourcen bekommen, 
um wirksamer auf die Konzerne, etwa 
über ihre deutschen Dependancen, ein- 
wirken zu können. Die europäische 
Datenschutzgrundverordnung, die im 
Januar vorgestellt wurde, müsse schnell- 
stens verabschiedet werden, um wirksa- 
me Sanktionen gegen Datenmissbrauch 
zu ermöglichen. 

Auch die amerikanische Regierung 
beginnt Datenschutzverstößen größe- 
re Aufmerksamkeit zu widmen. Am 
22.02.2012 schlug das Weiße Haus eine 
„Bill of rights“ vor, einen Katalog von 
sieben Rechten für Internetnutzende. 
An erster Stelle steht dabei, diesen 
mehr Kontrolle darüber zu geben, wel- 
che persönlichen Daten von ihnen im 
Internet gesammelt und wozu sie ver- 
wendet werden. Nach Angaben der 
Regierung haben außerdem mehrere 
Internetunternehmen zugestimmt, den 
Nutzenden zu ermöglichen, mit einem 
einfachen Klick zu verhindern, dass 
Daten von ihnen eingesammelt werden 
(„do not track“). 

Das Geschäft mit den Apps wächst ra- 
sant. 35 Milliarden Apps sind bisher auf 
Mobilgeräte heruntergeladen worden, 
bis 2015 sollen es Schätzungen zufolge 
bereits 98 Milliarden sein. Im gleichen 
Zeitraum soll sich der Umsatz mit den 
Mobilanwendungen von 6,8 Milliarden 
Dollar auf25 Milliarden Dollar vervier- 
fachen.Schonjetztbietenmehrals50.000 
EntwicklerInnen ihre Programme an, 
meist über die Plattformen der großen 
Konzerne. Immer wieder werden Apps 
für Datenklau missbraucht. Erst kürz- 
lich wurde bekannt, dass die App des 
Online-Netzwerks Path ohne Wissen 
der NutzerInnen deren Adressbücher 
anzapfte und die Daten speicherte. In 
einem Blogeintrag entschuldigte sich 
das Unternehmen bei den Nutzenden 
und bestätigte, dass alle Kontaktdaten 
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der Nutzenden nun gelöscht seien. 
Auch die Twitter-App sammelte die 
Kontaktdaten der Nutzer ein. Zudem 
häufen sich laut Weichert die Fälle von 
Betrug mit geklauten Daten. Dabei wür- 
den die Kontodaten der Nutzer für ille- 
gale Abbuchungen genutzt (Erb www. 
fr-online.de 23.02.2012; Lindner/Heeg 
www.faz.net 23.02.2012; Bernau SZ 
24.02.2012, 1). 


USA 


Anonymous hackt 
Stratfor 


AktivistInnen der Hacker-Bewegung 
Anonymous haben Server des auf glo- 
bale Sicherheitsanalysen speziali- 
sierten US-Unternehmens Strategic 
Forecasting (Stratfor) angegriffen und 
sich dabei eigenen Angaben zufol- 
ge Zugriff auf mehr als 200 Gigabyte 
Daten verschafft. Stratfor-Gründer 
George Friedman bestätigte, dass eine 
Liste mit eigentlich vertraulichen 
„Namen unserer Geschäftskunden auf 
anderen Webseiten veröffentlicht“ wur- 
de. Sie umfasst rund 4.000 Einträge, als 
Stratfor-Kunden werden unter ande- 
rem die Deutsche Bank, DHL und das 
Nachrichtenmagazin Der Spiegel ge- 
nannt. 

Schwerwiegender als die Veröffent- 
lichung von Kundennamen ist wohl, 
dass dieAnonymous-AktivistInnenKre- 
ditkarteninformationen von Stratfor- 
KundInnen abgegriffen haben: Über 
Twitter verbreiteten sie die Nachricht, 
tausende Kreditkarten für Zahlungs- 
anweisungen nutzen zu können. Als 
Beweis veröffentlichten sie Screenshots 
von Online-Überweisungen. Die Akti- 
vistInnen waren über die Weihnachts- 
feiertage in die Kundendatei von 
Stratfor Global Intelligence Service 
eingedrungen. Die Firma rühmt sich, 
ihren KundInnen mit angeblich exklu- 
siven Analysen mehr Sicherheit bie- 
ten zu können. Bis zu 90.000 Namen, 
Adressen und Kreditkarten-Infos will 
Anonymous für Umverteilungen a la 
Robin Hood genutzt haben. Befragte 
Betroffene bestätigten gegenüber US- 
Medien, dass es zu nicht autorisier- 
ten Zahlungsanweisungen gekommen 
sei. Anonymous erklärte, auf diesem 
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Weg mehr als eine Million Dollar an 
Hilfsorganisationen und „Bedürftige in 
den ganzen USA“ verteilen zu wollen. 
Ein Mitarbeiter von Amerikas mächti- 
gem Heimatschutzministerium über- 
wies so unfreiwillig 180 Dollar an das 
Rote Kreuz; ein früherer Angestellter 
der Bankenaufsicht in Texas entrichtete 
unwissentlich 200 Dollar für denselben 
guten Zweck. Es sei, so rechtfertigten 
die Aktivisten des Hacker-Netzwerkes 
‚Anonymous‘ ihren Raubzug, schließ- 
lich Weihnachten. 

Die Liste der Stratfor-KundInnen 
ist eindrucksvoll: Das Verteidigungs- 
ministerium, der Rüstungskonzern 
Lockheed Martin und das berühmte 
Atomforschungslabor in Los Alamos 
finden sich ebenso unter den Opfern 
wie Microsoft und Apple oder zahllose 
einfache US-BürgerInnen. Anonymous 
ergoss Spott über Stratfor und erklär- 
te, der Angriff sei deshalb so leicht- 
gefallen, weil die Firma die Daten ih- 
rer Kunden nicht einmal verschlüsselt 
habe. Am zweiten Weihnachtsfeiertag 
prangte auf der Homepage der Firma 
eine vertröstende Nachricht: „Diese 
Seite wird derzeit gewartet. Bitte besu- 
chen Sie uns bald wieder.“ Fred Burton, 
im Strafor-Vorstand unter anderem für 
geheimdienstliche Fragen zuständig, 
sagte, die Hacker lebten offenbar ‚in 
einer Welt, in der es außergewöhnlich 
schwer ist, sich gegen Angriffe zu ver- 
teidigen, wenn sie sich erst einmal auf 
dich eingeschossen haben“. 

In einer öffentlichen Stellungnahme 
erklärte Anonymous, nicht sie als be- 
kannte Hacker-Organisation, sondern 
„aufmerksamkeitsgeile Opportunisten“ 
seien verantwortlich, was offenbar 
eine Anspielung auf die „Lulzsec“- 
Gruppe war, die in der Vergangenheit 
gestohlene E-Mail-Passwörter veröf- 
fentlicht hatte. Dem Demeniti folgte al- 
lerdings wieder ein Dementi, das wie 
alle Mitteilungen über die anonyme 
Online-Publikationsplattform Pastebin 
veröffentlicht wurde: Natürlich stek- 
ke Anonymous hinter der Aktion. In 
einer derart losen wie führungslosen 
Vereinigungkönneniemand bestimmen, 
ob eine Operation dem Kollektiv zuzu- 
schreiben sei oder nicht. Anonymous 
hatte wiederholt mit spektakulären 
Aktionen Aufsehen erregt: Erst kurz zu- 
vorhattemandieHomepagedessyrischen 


Verteidigungsministeriums lahmgelegt, 
um gegen die blutige Niederschlagung 
der Demokratiebewegung zu prote- 
stieren. Im November 2011 suchte 
Anonymous das Duell mit dem mexika- 
nischen Drogenkartell und drohte, man 
werde die Namen zahlloser Mafiosi ver- 
öffentlichen, falls ein entführter Internet- 
Rebell nicht sofort freigelassen würde. 
Angeblich obsiegte Anonymus. Und 
vor einem Jahr hatten die Hacker, deren 
Markenzeichen die Maske des legendä- 
ren englischen Brandstifters Guy Fawkes 
ist, Großbanken und Kreditkarten- 
Konzerne angegriffen. Zuvor hatten 
sich diese geweigert, Spenden für das 
Enthüllungsportal Wikileaks zu trans- 
ferieren. Die Weihnachtsaktion erinner- 
te auch an Bradley Manning: Der wegen 
Geheimnisverrats inhaftierte US-Soldat, 
der mutmaßlich Regierungsdokumente 
an Wikileaks gegeben hatte, solle statt 
Strafe besser „ein anständiges Essen“ 
bekommen, so Anonymous. Das Netz- 
werk kündigte weitere Aktionen an. 

Der Gruppe gemeinsam ist, den ver- 
meintlich Mächtigen Grenzen aufzu- 
zeigen, wenn deren Handlungen den 
Vorstellungen der Mitglieder nicht ent- 
sprechen. US-Kommunikationswissen- 
schaftlerin Gabriella Coleman, die über 
die Gruppe seit Jahren forscht, erläu- 
terte: „Die Mitglieder sind unglaub- 
lich verschieden.“ Einige europäische 
Mitglieder seien „beinahe adelig“, an- 
dere „unterhalb der Arbeiterklasse“. 
So unterschiedlich der persönliche 
Hintergrund ist, so verschieden sind 
offenbar auch die Meinungen, wer zu 
den zu entlarvenden Mächtigen ge- 
hört. Zu der neuesten Aktion meinte 
Virenexperte Mikko Hyppönen, die be- 
dachten Wohltätigkeitsorganisationen 
würden im Ergebnis nicht profitie- 
ren, sondern hätten eher Ärger: „Diese 
Gelder werden niemals diejenigen er- 
reichen, die sie brauchen.“ Vielmehr 
müssten die Spendenempfänger die 
fälschlich erhaltenen Summen zurück- 
buchen, sobald die Kreditkartenfirmen 
diese als illegal klassifizieren, und da- 
mit Geld und Arbeitszeit aufwenden 
(www.heise.de 26.11.2011; Wernicke 
SZ 27.12.2011, 6; Kuhn SZ 28.12.2011, 
4, 19). 
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USA 


„Carrier IQ*-Software 
sammelt Daten in über 
140 Millionen Handys 


Das Programm Carrier IQ (CIO) 
steckt in vielen Smartphones in den 
USA und zeichnet das Nutzerverhalten 
auf — auch Texteingaben, die eigentlich 
verschlüsselt werden sollen. Auf der 
Website des Unternehmens Carrier IQ 
läuft ein Zähler, der Ende 2011 mehr als 
141 Millionen anzeigte, Tendenz stei- 
gend, womit angezeigt wird, wie viele 
Smartphones derzeit im Umlauf sind, 
die eine Software installiert haben, die 
wie das Unternehmen heißt. Aber nur 
die wenigsten der Handybesitzenden 
wissen, dass CIQ auf ihren Geräten ver- 
steckt ist, und was die Software alles 
kann. 

Der 25jährige Android-Entwickler 
Trevor Eckhart beschreibt in einem 
Video, wie er diese Software auf sei- 
nem HTC-Smartphone gefunden hat, 
und dass sie sich nicht stoppen lässt. 
Der einzige Weg sie loszuwerden, ist 
ihm zufolge das Betriebssystem auszu- 
tauschen. Die Funktionen der Software 
sind umfassend: CIQ kann Stand- 
ortinformationen, eingehende Anrufe 
und SMS ebenso aufzeichnen wie das 
Aufrufen von Apps. Sie kann Audio- 
aufnahmen starten—-und sogar Eingaben 
auf der physischen und der virtuel- 
len Tastatur des Geräts protokollieren. 
Auf den meisten in den USA verkauf- 
ten Android-Geräte, Blackberrys und 
Nokia-Smartphones ist, so Wired.com, 
CIQ installiert. Die Nutzenden erfahren 
davon nichts. Allenfalls bei bestimmten 
Systemabstürzen fragt das Gerät, ob es 
eine entsprechende Fehlermeldung an 
den Hersteller oder den Provider sen- 
den darf. Das Programm diene dazu, 
Providern Infos über Handyempfand 
und Gespräche zu liefern, um auf die- 
ser Basis ihre Services verbessern zu 
können. Dafür, so Carrier IQ, werde 
die Software gebraucht. Sie soll hel- 
fen, die Qualität und Stabilität von 
Netzwerken und Hardware zu verbes- 
sern, indem sie Informationen über 
Abstürze und andere Fehlfunktionen 
sammelt. Tastatureingaben würden 
nicht aufgezeichnet. HTC und der 
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Mobilfunkanbieter Sprint gaben ähnli- 
che Erklärungen ab. 

Eckhart zeigt in seinem Video, wie er 
auf seinem HTC Evo die Worte Hello 
World in die HTTPS-Suche von Google 
eingibt. Im Protokoll, das CIQ anlegt, er- 
scheinen diese Worte im Klartext. Das 
bedeutet, dass die Software Texteingaben 
sehr wohl aufzeichnet. Sie ist dabei so- 
gar in der Lage, das HTTPS-Protokoll zu 
unterlaufen, indem sie jeden Buchstaben 
schon beim Eintippen speichert. HTTPS 
verschlüsselt erst beim Absenden des 
Textes. Eckhart konnte sich, so seine 
Angaben, auch eine Fabrikversion der 
Software ansehen. In ihr sei vorgese- 
hen, dass Nutzende bei Abstürzen eine 
Liste zu sehen bekommen, auf der sie 
ihre technischen Probleme benennen 
können. CIQ mache sich dabei mit ei- 
nem Symbol in der Statusleiste be- 
merkbar. Auf verkauften Geräten aber 
sei das nicht selbstverständlich — die 
Software könne modifiziert und kom- 
plett verborgen werden. Eckhart be- 
zeichnet CIQ deshalb als Rootkit, also 
als ein Werkzeug, mit dem sich je- 
mand heimlich Administratorrechte 
für ein Gerät sichert. Nicht nachge- 
wiesen wurde, dass Daten, wie etwa 
die Texteingaben, auch an irgendeinen 
Server gesendet werden. Deshalb for- 
derte Eckhart vom Unternehmen selbst, 
von den Geräteproduzenten und den 
Mobilfunkbetreibern nur, dass sie die 
Smartphone-Besitzenden besser und 
transparenter darüber aufklären, dass 
die Software vorhanden ist, was sie kann 
und welche Informationen sie tatsäch- 
lich sendet. 

Nicht jedes Handy läuft mit CIQ- 
Software. Meist wird das Programm 
zur Systemdiagnose in „Operator- 
Smartphones“ eingesetzt, also Mobil- 
telefonen, die Hersteller direkt für 
Mobilfunkanbieter bauen und entspre- 
chend modifizieren. Ob CIQ auch au- 
Berhalb der USA eingesetzt wird, ist 
unklar. Nokia erklärte, dass bei dessen 
Smartphones die Software nicht instal- 
liert sei. 

Anfragen bei dem Unternehmen selbst 
sowiebeiHTC wurden zunächstnichtbe- 
antwortet. In einer Stellungnahme hieß es 
dann, man sammele anonymisiert „ope- 
rative Informationen“. Damit könnten 
Provider Verbindungsproblemeaufgrund 
schwacher Netzleistung ausmachen und 


beheben: „Wir zeichnen nicht auf, wel- 
che Tasten gedrückt werden und liefern 
keine Überwachungswerkzeuge.“ Um 
Genaueres herauszufinden, können fort- 
geschrittene Nutzende eine von Eckhart 
entwickelte Software nutzen, die Carrier 
IQ in Android-Geräten aufspüren soll. 
Eine Unterlassungsklage gegen Eckhart 
und die Forderung nach 150.000 Dollar 
Schadenersatz wegen Verleumdung zog 
Carrier IQ nach einer Intervention der 
Bürgerrechtsorganisation Electronic 
Frontier Foundation zurück und ent- 
schuldigte sich dafür (Beuth www.zeit. 
de 30.11.2011; Kuhn www.sueddeut- 
sche.de 30.11.2011). 


USA 


Mobiler Körperscanner in 
New York 


Die New Yorker Polizei setzt einen 
mobilen Terahertz-Scanner ein, mit 
dem künftig versteckte Waffen entdeckt 
und so schneller aus dem Verkehr gezo- 
gen werden sollen. Die Methode soll, 
so der Plan der Behörde, zur „sicheren 
Alternative‘ zur Durchsuchung verdäch- 
tiger Personen entwickelt werden. Der 
neue Scanner soll Verdächtige scannen, 
während die PolizeibeamtlInnen in ihrem 
Wagen sitzen bleiben. Das als „Drive- 
by Gun Scan“ vorgestellte Verfahren 
soll bis zu einer Entfernung von 4,5 
Metern Gegenstände wie Pistolen oder 
Messer orten können. Das Gerät misst 
die Terahertz-Wellen, die von Menschen 
abgestrahlt werden, und die Textilien, 
Plastik oder Papier durchdringen. 
Objekte aus Metall, die als Leiter für 
diese Wellen undurchlässig sind, zeich- 
nen sich dagegen auf dem Wärmebild 
des Menschen mehr oder weniger deut- 
lich ab. Die Reichweite des Scanners 
soll bis auf 23 Meter ausgedehnt wer- 
den. Möglich werden soll das durch eine 
Forschungskooperation zwischen der 
New Yorker Polizei und dem Pentagon. 

Bürgerrechtsgruppen kritisieren, dass 
bereits jetzt vor allem Farbige und Lati- 
nos durchsucht werden: Von den knapp 
600 000 Menschen, die2010 in New York 
angehalten und abgetastet worden sind, 
waren gemäß dem Center for Consti- 
tutional Rights in New York 87% dieser 
Herkunft. Eine geheime Durchsuchung 
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potenziell verdächtiger Personen ohne 
deren Wissen würde diesen Anteil wahr- 
scheinlich weiter in die Höhe treiben. In 
Deutschland sind Forschungsarbeiten 
an einer passiv arbeitenden „Teracam“ 
im Rahmen des Verbundprogramms 
„Forschung für die zivile Sicherheit“ 
bis 2010 gefördert worden. Resultate zu 
dem Projekt liegen bislang jedoch nicht 
vor (www.heise.de 30.01.2012). 


Indien 


Regierungsabhörschnitt- 
stelle bei Apple, RIM und 
Nokia? 


Die Hackergruppe „The Lords of 
Dharmaraja“ veröffentliche Dokumente, 
aus denen hervorgeht, dass die 
Smartphone-Hersteller Apple, Nokia 
und Research in Motion (RIM) einem 
indischen Geheimdienst Zugang zu den 
E-Mails ihrer KundInnen gewähren. Der 
US-amerikanische IT-Sicherheitsexperte 
Christopher Soghoian wies in einem 
Tweet auf die Veröffentlichung dieser 
Hackergruppe hin: „Hacker haben eine 
interne geheime Mitteilung des indischen 
Militärgeheimdienstes veröffentlicht, 
nach denen Apple Abhörhintertüren für 
die Regierung bereitstellt.“ Dort heißt 
es: „Wir veröffentlichen Informationen 
von Servern des indischen militäri- 
schen Geheimdienstes.“ Ein Dutzend 
Softwarefirmen hätten die Vereinbarung 
unterzeichnet. Den Hackern liege der 
Quellcode der Hintertüren der Firmen 
vor. Als „Gegenleistung“ hätten die mit 
„RINOA“ abgekürzten Unternehmen, 
was für RIM, Nokia und Apple steht, 
Zugang zum indischen Markt erhalten. 
Ob die veröffentlichten Dokumente echt 
sind, blieb unbestätigt. 

Über diese Abhörschnittstelle soll 
die indische Regierung auch E-Mails 
der U.S.-China Economic and Security 
Review Commission mitgelesen ha- 
ben, die sich mit Sicherheitsfragen 
der Beziehungen zwischen den USA 
und China beschäftigt. Als Beweis da- 
für veröffentlichten die Hacker Teile 
aus der E-Mail-Korrespondenz des 
Kongressausschusses. Die indische 
Regierung hatte RIM im Jahr 2010 ein 
Ultimatum gestellt, ihren Behörden 
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Zugang zu der E-Mail-Kommunikation 
über die Blackberrys zu gewähren. 
Textnachrichten können die Behörden 
bereits abhören — den Zugang dazu 
hatte RIM bereits gewährt (DANA 
3/2011, 127 £.). Der indische Staat ver- 
langte jedoch auch Zugriff auf die von 
Blackberry-Nutzenden versandten ver- 
schlüsselten E-Mails. 

Nokia erklärte, keinen Kommentar ab- 
geben zu wollen. Blackberry-Hersteller 
RIM dementierte die Meldungen. Die 
technischen Möglichkeiten zum Abhören 
verschlüsselter Kommunikation habe 
man gar nicht. Auch Apple dementier- 
te: Man habe der indischen Regierung 
keine Zugriff über Hintertüren auf 
Apple-Software ermöglicht. Die indi- 
sche Armee, von der die Überwachung 
ausgehen soll, dementierte ebenso alle 
Vorwürfe. Die Hacker würden bösarti- 
ge Absichten verfolgen, das Dokument 
sei gefälscht. Indien macht jedoch 
kein Geheimnis daraus, Privat- und 
Geschäftshandys etwa im Kampf ge- 
gen terroristische Separatistengruppen 
abzuhören. Tatsächlich ist das staat- 
liche Abhören Gesetz und zumindest 
Blackberry-Hersteller RIM unterstützt 
dieindische Regierunggemäß westlichen 
Presseberichten beim Lauschangriff. 

Dass die Hackergruppe keine reine 
Luftnummerist, bewiessie,alsAntivirus- 
Hersteller Symantec vor einigen Tagen 
einräumte, dass die Gruppe Teile des 
Quellcodes von zwei älteren Versionen 
ihrer Antivirus-Produkte entwendet hat- 
te - die Codepassagen seien vier, bezie- 
hungsweise fünf Jahre alt. Symantec 
räumte die Authentizität des Quellcodes 
ein, konnte aber nicht erklären, woher 
der Code gekommen war. Die eigenen 
Systeme jedenfalls seien nicht geknackt 
worden. Die Hacker drohten mit weite- 
ren Veröffentlichungen: Auf dem von 
ihnen geknackten Geheimdienst-Server 
hätten sie Quellcodes von rund einem 
Dutzend anderer Software-Firmen ent- 
deckt, die alle ein Abkommen mit 
dem indischen „Tactical Network 
for Cellular Surveillance (TANCS)“- 
Programm und dem Central Bureau of 
Investigation (CBI) unterzeichnet haben 
sollen, um das weitgehende Abhören 
von Mobilfunk- und Datenverkehr in 
Indien zu ermöglichen (Sawall www. 
zeit.de 10.01.2012; www.spiegel.de 
10.01.2012). 


Syrien 


Überwachungs- 
kooperation mit 
Deutschland beendet 


Zwei mutmaßliche syrische Spione 
wurden am 07.02.2012 in Berlin fest- 
genommen und in Untersuchungshaft 
gebracht; vier Mitarbeiter der syri- 
schen Botschaft in Berlin wurden aus- 
gewiesen. Die Bundesanwaltschaft ließ 
außerdem die Wohnungen von sechs 
Beschuldigten durchsuchen, denen 
der Vorwurf gemacht wird, seit Jahren 
Oppositionelle bespitzelt zu haben. Nach 
Angaben der Bundesanwaltschaft beob- 
achtet der deutsche Verfassungsschutz 
schon länger die Beschuldigten. Im jüng- 
sten Verfassungsschutzbericht heißt es, 
syrische Geheimdienste würden in der 
BotschaftinBerlineine,„Legalresidentur“ 
unterhalten, also einen Stützpunkt ei- 
nes fremden Nachrichtendienstes - „ab- 
getarnt“ in einer offiziellen Vertretung 
des Gastlandes. Auf diese Weise füh- 
re Syrien ein Agentennetz und schrecke 
bei der Werbung neuer AgentInnen und 
der Einschüchterung von GegnerInnen 
nicht vor „Repressalien“ zurück. Das 
Auswärtige Amt schloss nach den 
Verhaftungen weitere Maßnahmen 
gegen die syrische Vertretung aus- 
drücklich nicht aus. Damit gingen 
Bundesregierung und deutsche Justiz 
zu dem Geheimdienst des nahöstli- 
chen Diktators Baschar al-Assad auf 
Distanz. Syrien plante zunächst eine 
Retourkutsche: In Damaskus wur- 
den Erkundigungen über dort lebende 
BND-Agenten eingeholt. Die Revanche 
scheiterte, weil die drei Residenten des 
deutschen Auslandsgeheimdienstes zu- 
sammen mit Botschaftsangehörigen be- 
reits ins libanesische Beirut ausgereist 
waren. 

Die Distanz bestand nicht immer. Nach 
2002 arbeiteten die Nachrichtendienste 
beider Länder vorübergehend eng zu- 
sammen. Der konkrete Anlass waren 
die Anschläge vom 11.09.2001 und 
der Kampf gegen das Terrornetzwerk 
al-Qaida. An vielen Knoten dieses 
Netzwerkes saßen Syrer. Vom syri- 
schen Geheimdienst versprach man sich 
Unterstützung. Er betrachtete den isla- 
mistischen Terror auch als Bedrohung 
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des Regimes in Damaskus. Die deut- 
schen Sicherheitsbehörden standen 
unter Druck, weil die Attentäter des 
11.09.2001 ihre Taten in Hamburg vor- 
bereitet hatten. Besonderes Interesse hat- 
ten die deutschen Ermittelnden an dem 
in Hamburg lebenden Deutsch-Syrer 
Mohammed Haydar Zammar, der enge 
Verbindungen zu den Attentätern unter- 
halten hatte. Eine Unterstützung oder 
gar Mittäterschaft konnte ihm jedoch 
nicht nachgewiesen werden, weshalb 
Zammar im Dezember 2001 ungehin- 
dert nach Marokko reisen durfte. Dort 
wurde er auf Betreiben der USA verhaf- 
tet und nach Syrien gebracht, wo er wei- 
terhin inhaftiert ist. Dass die Deutschen 
dabei die Hand im Spiel hatten, wurde 
von einem Untersuchungsausschuss des 
Bundestags im Jahr 2009 verneint. 
Zammarspieltedennochindendeutsch- 
syrischen Geheimdienstbeziehungen 
eine wichtige Rolle. Am 10.07.2002 
empfing der damals für die Nachrichten- 
dienste zuständige Abteilungsleiter im 
Kanzleramt, Ernst Uhrlau, in Berlin den 
stellvertretenden Leiter des syrischen 
Militärgeheimdienstes, Assif Schaukat. 
Der ist ein Schwager Assads und mitt- 
lerweile _Vize-Verteidigungsminister. 
Bei dem Treffen im Kanzleramt frag- 
te Uhrlau, der später Präsident des 
Bundesnachrichtendienstes (BND) wur- 
de, auch nach Zammar. 14 Tage da- 
nach wurde, nur wenige Stunden vor 
seinem Beginn, der Prozess gegen 
zwei syrische Spione eingestellt, die in 


Deutschland syrische Oppositionelle 
drangsaliert hatten. Im November 2002 
reisten fünf Beamte des BND, des 
Bundesamtes für  Verfassungsschutz 
und des Bundeskriminalamtes nach 
Damaskus und vernahmen drei Tage 
lang den dort inhaftierten Zammar. 
Den Verdacht, die Einstellung des 
Prozesses sei die Gegenleistung für die 
Erlaubnis zur Befragung Zammars ge- 
wesen, erachtete sieben Jahre später 
der Untersuchungsausschuss für wi- 
derlegt. Der Ausschuss meinte, man 
habe mit der Einstellung des Prozesses 
das Klima für die Zusammenarbeit bei 
der Bekämpfung des Terrorismus all- 
gemein verbessern wollen. Zu die- 
sem Zweck war auch schon im Mai 
2002 das Bundestagsgremium für die 
Kontrolle der Geheimdienst (PKG) 
nach Damaskus gereist. Letztlich wurde 
aus der erhofften Zusammenarbeit nicht 
viel. Die syrischen Hinweise auf al-Qai- 
da blieben dürftig. Die Repressalien sy- 
rischer Agenten gegen Oppositionelle in 
Deutschland gingen bis in die jüngste 
Zeit weiter. 

Im Dezember 2011 wurde der syrische 
Oppositionelle und Grünen-Politiker 
Ferhad Ahma in seiner Wohnung in 
Berlin von zwei Unbekannten zusam- 
mengeschlagen. Er vermutete dahin- 
ter „Schergen des Assad-Regimes“. Er 
steht auf einer Liste mit 287 Exil-Syrern, 
die dem Infoportal kurdwatch.org zuge- 
spielt wurde, deren Echtheit nicht über- 
prüft werden kann. Die Genannten sollen 


Technik-Nachrichten 


Sicherheitslücke bei 
Amazon-Cloud 


Forschende der Ruhr-Universität 
Bochum haben eine Sicherheitslücke 
beim Online-Buchhändler Amazon auf- 
gedeckt. Juraj Somorovsky, der am 
Lehrstuhl für Netz- und Datensicherheit 
forscht und die Idee zu dem simulier- 
ten Hacker-Angriff hatte, erläuterte: 
„Wir hatten Zugriff auf alle Daten ei- 
nes Kunden, hätten auch gespeicher- 
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te Daten verändern können.“ Bereits 
Ende 2010 hatte das Forscherteam das 
Unternehmen über die Sicherheitslücke 
informiert, das, so Somorovsky, das Leck 
inzwischen behoben hat. Wegen kompli- 
zierter Verfahren beim Veröffentlichen 
von wissenschaftlichen Arbeiten hat die 
Universität ihre Forschungsergebnisse 
jedoch erst einige Monate später preis- 
gegeben. Mit einem selbst geschrie- 
benen Mini-Programm gelang es dem 
Team vom Lehrstuhl für Netz- und 
Datensicherheit, den Account einer be- 


„wegen Verbrechen gegen den Staat“ ge- 
sucht werden und erst Reisedokumente 
erhalten, wenn sie zuvor syrische 
Sicherheitsdienste kontaktiert haben. 
Ahma ist Mitglied des Nationalrats der 
syrischen Opposition. Deutsche Ermittler 
stellten seit den Unruhen in Syrien 
fest, dass die Oppositionsbewegung in 
Deutschland deutlich intensiver ausge- 
späht wird. Verschiedene Dienste wür- 
den mit eigenen Zuträgern Berichte 
über Veranstaltungen von regimekri- 
tischen ExilsyrerInnen anfertigen und 
z. B. Portraitfotos in hoher Auflösung 
von einzelnen DemonstrantInnen 
in die Heimat schicken. Deutschen 
Behörden ist es offensichtlich ge- 
lungen, teils aus Internetcafes ver- 
schickte Spitzelberichte, z. B. an den 
Militärgeheimdienst, abzufangen. In 
Deutschland leben mehr als 32.000 sy- 
rische StaatsbürgerInnen. Ein Sprecher 
von „Adopt a Revolution“ meinte, vie- 
le hätten Angst, dass Angehörige in 
ihrer Heimat bedroht und verfolgt 
würden. Die Leiterin des Berliner 
Verfassungsschutzes Claudia Schmidt 
erläuterte am 15.02.2012 im zuständi- 
gen Ausschuss des Abgeordnetenhauses, 
dass Syrer angeworben würden, in- 
dem Repressalien gegen Verwandte in 
der syrischen Heimat angedroht wer- 
den (Schultz SZ 08.02.2012, 1, 7; 
Blechschmidt SZ 11./12.02.2012, 6; 
SZ 16.02.2012, 5; Der Spiegel 1/2012, 
12; Der Spiegel 7/2012, 18; siehe auch 
DANA 4/2011, 181). 


liebigen KundIn des von Amazon an- 
gebotenen Cloud-Service komplett zu 
übernehmen und dessen Daten einzuse- 
hen und zu bearbeiten. „Das wäre auch 
mit jedem anderen Account möglich ge- 
wesen“. Somorovsky legt Wert darauf, 
dass keine fremden Daten ausgespäht 
wurden. Darüber hinaus entdeckten 
die Forschenden Sicherheitslücken im 
Online-Shop von Amazon und bei einem 
weiteren Anbieter. Die sogenannte Cloud 
bietet KundInnen Online-Speicherplatz. 
Sie gilt als zukunftsweisende Innovation 
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und findet immer mehr Verbreitung. 
Deswegen sei es dringend notwendig, 
die Sicherheitslücken zu erkennen und 
zu vermeiden. Die WissenschaftlerInnen 
nutzten bei ihren Angriffen Schad-Codes 
oder Mini-Programme, die Daten von 
NutzerInnen abfangen und weitergeben 
können (Stürzenhofecker www.welt.de 
24.10.2011). 


Sensorpflaster zum 
Aufkleben 


Eine Forschergruppe um Dae-Hyeong 
Kim von der Universität Illinois/USA 
hat eine Schaltung entwickelt, mit der 
die medizinische Datenerfassungen 
über aufklebbare Microchips erfolgen 
können, die danach wieder einfach und 
ohne Schmerzen oder Jucken zu besei- 
tigen sind. Gemessen werden können 
Puls, Hirnströme, Muskelaktivitäten 
und sogar Sprache. Das Sensorpflaster 
wurde in einer Ausgabe der Zeitschrift 
Science vorgestellt (Bd. 333, S. 830, 
2011). Auf der Größe einer Briefmarke 
sind Sensoren und Antennen zusammen- 
gefasst zur kabellosen Übertragung und 
mit einer eigenen Energieversorgung 
durch die Aufnahme und Umwandlung 
von Wärme- oder Lichtstrahlung. 
Einer der Autoren, John Rogers, er- 
läuterte: „Wir wollten ein Gerät er- 
schaffen, das die Anwendenden nicht 
spüren und das unsichtbar ist“. Das 
Sensorpflaster könne sich der Haut an- 
passen und jede Verformung mitma- 
chen. Die Schaltkreise sitzen auf einer 
extrem dünnen Schicht Kunststoff, die 
von selbst haftet. Die Leitungen bilden 
Serpentinen, so dass sie sich verformen 
können. Sie Sensoren können in ein ab- 
waschbares Tattoo integriert und so ge- 
tarnt werden. Das Pflaster klebt bis zu 24 
Stunden lang und versendet Messdaten 
durch integrierte Antennen. Je nach 
dem Ort verschickt es unterschiedli- 
che Daten: Auf der Brust misst es den 
Herzschlag, am Bein erkennt es, ob die 
Person geht oder steht. Auf der Stirn auf- 
geklebt zeigt es an, ob die Augen geöff- 
net oder geschlossen sind. Das Pflaster 
kann auch zur Kommunikation zwi- 
schen Mensch und Maschine genutzt 
werden. Auf den Hals einer ProbandIn 
geklebt, kann diese mit Worten wie 
„rauf“ und „runter“ ein Videospiel mit 
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einer Genauigkeit von mehr als 90% 
steuern. Die Feineinstellungen machen 
aber noch Probleme, da wegen der star- 
ken Biegbarkeit der Schaltkreise die ge- 
sendeten Signale noch von der Form der 
Leitungen abhängt, so Rogers: „Unsere 
Arbeit fängt gerade erst an“ (Behrens SZ 
12.08.2011, 16). 


Computer lesen 
Gedanken 


Das amerikanische Verteidigungs- 
ministerium forscht daran, per Hirn- 
strommessung und Mustererkennung 
Gedanken lesen zu können. Kevin 
Brown, Softwarefachmann des amerika- 
nischen Computerherstellers IBM, pro- 
gnostiziert schon für das Jahr 2017 den 
flächendeckenden Einsatz von Hirn- 
Computer-Schnittstellen zum Beispiel 
beim Bedienen des Smartphones oder 
der Arbeit am Tablet PC. Das australi- 
sche Hochtechnologie-Unternehmen 
Emotiv Systems verdient schon seit neun 
Jahren Geld mit seiner Hirn-Computer- 
Schnittstelle Epoc. Diese besteht aus 14 
Elektroden, kostet 300 Dollar und wird 
zusammen mit einem dreidimensionalen 
Computerspiel der Demiurge Studios 
ausgeliefert. Softwarespezialisten wie 
Brown wollen daraus in den nächsten 
Jahre ein leistungsfähiges Peripherie- 
System machen, das es ihnen erlaubt, 
alle Arten von Computern allein mit 
Gedankenkraft zu bedienen. 

Vorbild ist dabei die Spracherkennung. 
Schon heute kann die HiFi- und 
Klimaanlage im Auto durch mündli- 
che Befehle gesteuert werden oder dem 
Smartphone zugerufen werden, wen wir 
anrufen wollen. Algorithmen für die 
Mustererkennungkönnenunsere Sprache 
nahezu fehlerfrei in geschriebenen Text 
umsetzen oder Anweisungen erkennen 
und ausführen. Außerdem können sie 
schon heute bestimmte Muster unserer 
Hirnaktivität erkennen. Wenn wir inten- 
siv daran denken, einen Würfel auf ei- 
nem Bildschirm nach links zu bewegen, 
feuern unsere Synapsen entsprechen- 
de Impulse. Dies kann mit Elektroden 
gemessen werden. Das Geheimnis des 
Erfolges liegt im Training. So wie ein 
Spracherkennungssystem die einzel- 
nen Sprachmuster eines Menschen ler- 
nen muss, benötigt die Software für 


Hirn-Schnittstellen Übung, um _ die 
Aktivitätsmuster zu erkennen, die ent- 
stehen, wenn Synapsen bei bestimmten 
Gedanken oder Gedankenfolgen aktiv 
sind. 

Der Computeranwender geht dabei 
ähnlich wie beim Training von Diktier- 
Software vor, indem er beim Einarbeiten 
einer Hirn-Computer-Schnittstelle kei- 
nen Mustertext vorliest, sondern vor- 
gegebene Gedankenfolgen abarbei- 
tet. In den Forschungslaboratorien von 
Computerherstellern und Militärs wer- 
den derzeit rund 30 Aktivitätsmuster für 
die Bewegungssteuerung des Cursors 
und für die Bedienung von standardi- 
sierter Software trainiert. Brown hat im 
März 2009 angefangen, sich mit dieser 
Art der Mustererkennung von feuern- 
den Synapsen zu beschäftigen. Damals 
erlitt ein Kollege im Forschungslabor 
einen Hirnschlag und wies infolgedes- 
sen ein sogenanntes Lock-In-Syndrom 
auf. Er hatte also keine Kontrolle mehr 
über seine Muskeln, konnte nicht mehr 
sprechen oder gestikulieren. Lediglich 
die Pupillen konnte er noch bewe- 
gen. Brown vereinbarte mit seinem 
Kollegen, dass hochgerollte Pupillen 
„ja“ bedeuten sollen und nach unten 
gerollte Pupillen „nein“. So konnten 
sie sich fragmentarisch verständigen. 
Brown kaufte ein Epoc-Headset von 
Emotive und programmierte für seinen 
Kollegen Mustererkennungssoftware, 
die in der Lage war, bestimm- 
te Hirnaktivitätsmuster zu lernen, so 
dass Browns Kollege sich über die 
Hirn-Computer-Schnittstelle mit ei- 
nem kleinen Grundwortschatz ver- 
ständigen konnte. „Das klappte viel 
besser als die Kommunikation über 
die Pupillenstellung“, meint Brown. 
Daraus wurde ein Entwicklungsprojekt 
in den Forschungslaboratorien der 
IBM. Dort arbeiten die Forschenden 
an kleineren und genauer arbeitenden 
Elektroden, die sie beispielsweise in 
eine Baseballkappe integriert haben, und 
an einer Mustererkennungssoftware, 
die Hirnaktivitätsmuster mit einer 
ähnlichen Genauigkeit erkennt wie 
Spracherkennungssoftware heutzutage 
gesprochene Sprache. Forschende der 
University of California in Berkeley tüf- 
teln an regelrechten Hirnscannern, mit 
denen sie sogar Träume analysieren wol- 
len. 


DANA » Datenschutz Nachrichten 1/2012 


Bis es so weit ist, müssen bei 
der Entwicklung noch praktische 
Schwierigkeiten gelöst werden. So lie- 
fern zum Beispiel sogenannte trockene 
Sensoren, die ohne Elektrolytflüssigkeit 
auskommen, noch nicht hinreichend 
stabile Signale im Bereich von fünf 
Millionstel Volt. Doch die Arbeiten in 
diesem Bereich machen Brown zufolge 
gute Fortschritte. An der State University 
in New York werden sogar kontaktlose 
Elektroden entwickelt. Auch die mathe- 
matischen Gleichungssysteme, die zur 
Erstellung der Hirnaktivitätsmuster ver- 
wendet werden, liefern derzeit recht grob 
aufgelöste Muster, an deren Verfeinerung 
die Forscher arbeiten. Denn je hochauf- 
lösender die Muster erkannt werden, 
umso mehr Kombinationsmöglichkeiten 
verschiedener Gedankenfolgen kön- 
nen die Algorithmen auflösen bezie- 
hungsweise erkennen. Für Brown und 
seine KollegInnen ist klar, dass in we- 
nigen Jahren die Menschen mit ih- 
rem Smartphone nicht mehr über ein 
Mikrofon und Spracherkennung kom- 
munizieren werden, sondern über 
die Elektroden der Hirn-Computer- 
Schnittstelle. Statt des gesprochenen 
Befehls „Ruf zu Hause an“ soll dann 
schon der Gedanke genügen (Welchering 
www.faz.net 16.01.2012). 


Gesichts-OP-resistente 
Mustererkennung 


Informatiker der University of Notre 
Dame im US-Bundesstaat Indiana ha- 
ben eine Software entwickelt, mit der 
Menschen per Gesichtserkennung auch 
dann erkannt werden können sollen, 
wenn sie gezielt ihr äußeres Aussehen, 
z.B. per Schönheitsoperation, verän- 
dern. Hintergrund der Innovation ist, 
dass viele Computermodelle das Gesicht 
als Einheit erfassen. Dies ist bei geziel- 
ten Gesichtsveränderungen nicht ideal, 
weil dann auch kleinere Eingriffe be- 


reits die Gesamtwirkung eines Gesichts 
stark verändern können. Mit ihrem neu- 
en Programm konzentrieren sich die 
Forschenden daher auf charakteristische 
Merkmale wie Augen und Mund, von 
denen einige auch nach einer Gesichts- 
OP regelmäßig unverändert bleiben (Der 
Spiegel 5/2012, 99). 


Computer analysieren 
Sprechergefühle 


Computer können Spracheingaben in 
Schriftzeichen umsetzen. Als Nächstes 
soll ihnen beigebracht werden, an- 
hand der Stimme die Gefühlslage der 
Sprechenden zu erkennen. Erste 
Systeme sind bereits in Callcentern im 
Einsatz. Die in Callcentern eingesetz- 
ten Systeme sollen KundInnen aufspü- 
ren, bei denen sich ein Verkaufsgespräch 
lohnt. Die Funktionsweise erklärt 
Bin Yang, Professor am Institut für 
Signalverarbeitung und Systemtheorie an 
der Universität Stuttgart: „Wenn jemand 
traurig ist, spricht ermeistens langsam und 
nicht so laut. Wenn jemand wütend, glück- 
lich oder überrascht ist, hingegen lauter 
und schneller.“ Aus solchen Merkmalen 
wird ein digitales Sprachprofil berech- 
net. „Wir setzen ein mathematisches 
Verfahren zur Mustererkennung ein, so 
wie es auch bei Spracherkennung, einem 
Fingerabdruck oder Iris-Scan gemacht 
wird.“ Dieses Muster wird dann mit einer 
Datenbank verglichen, in dermenschliche 
Bewertungen als Referenz gespeichert 
sind. So bekommt das System beige- 
bracht, welche Merkmale auf was für eine 
Emotion schließen lassen. „Der erste, 
aufwendige Schritt ist also der Aufbau 
dieser Datenbank. Menschen müssen 
möglichst viele Sprachmuster bewerten.“ 
Yang sieht noch keine Möglichkeit, aus 
einer Sprachanalyse Lügen zu detektie- 
ren: „Aus den Emotionen in der Stimme 
darauf zu schließen, ob jemand lügt, ist 
dann ein anderes Paar Schuhe.“ 


Jetzt DVD-Mitglied werden: 


Julia Hirschberg, IT-Professorin an 
der Columbia University, will genau 
diesen Zusammenhang herstellen. Sie 
arbeitet an Algorithmen, die anhand ei- 
ner Sprachaufzeichnung erkennen sol- 
len, ob ein Mensch gerade lügt oder 
die Wahrheit sagt. Dutzende Merkmale 
wie Lautstärke, Geschwindigkeit, 
Wortpausen und nervöses Lachen ge- 
ben dem gemäß Hinweise auf eine 
Täuschung. In einem ersten Testversuch, 
bei dem Testpersonen zu Interviews 
eingeladen wurden und bewusst täu- 
schen sollten, habe der Computer in 
70 Prozent der Fälle Lügen erkannt - 
Menschen entdeckten nur 57 Prozent 
der Täuschungen. Ein funktionieren- 
der Lügendetektor nur auf Sprachbasis 
wäre eine kleine Revolution. Seit den 
siebziger Jahren fahnden forensische 
PsychologInnen bisher ergebnislos nach 
verräterischen Signalen. Zwar geben 
sich manche Lügner unfreiwillig durch 
viele „Ähms“ zu erkennen, andere hin- 
gegen lassen sich buchstäblich nichts 
anmerken. Auch Lügendetektoren, die 
unter anderem Puls und Hautwiderstand 
messen, kommen laut Studien in fast der 
Hälfte der Fälle zu falschen Ergebnissen. 
Als Beweise, etwa vor Gericht, taugen 
solche Ergebnisse kaum. Hirschberg 
sieht sich und ihre KollegInnen trotz- 
dem auf einem guten Weg, zumindest 
besser zu verstehen, wie sich Emotionen 
in unserer Sprache widerspiegeln. 
Die vage Aussicht auf eine Software, 
die Hinweise auf eine Täuschung ge- 
ben kann, beflügelt offenbar auch 
Geldgeber. Nach Presseberichten ha- 
ben Hirschberg und ihre KollegInnen 
von der US-Luftwaffe knapp 1,5 
Millionen Dollar Forschungsgelder er- 
halten. Dafür sollen sie nicht nur in eng- 
lischen Sprachaufnahmen Emotionen 
verstehen, sondern auch auf Arabisch 
und Chinesisch (www.spiegel.de 
07.12.2011). 


www.datenschutzverein.de 
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Rechtsprechung 


EuGH 


Europarecht schützt 
Zugangsdienste vor 
UÜberwachungspflicht 


In einem Rechtsstreit zwischen der 
Scarlet Extended SA, einem Anbieter 
von _Internetzugangsdiensten, und 
SABAM, einerbelgischen Verwertungs- 
gesellschaft, deren Aufgabe es ist, die 
Verwendung von Werken der Musik 
von Autoren, Komponisten und Heraus- 
gebern zu genehmigen, entschied der 
Europäische Gerichtshof (EuGH) 
am 24.11.2011, dass europäisches 
Datenschutzrecht einer von einem na- 
tionalen Gericht erlassenen Anordnung 
entgegensteht, die zur Filterung ge- 
gen unzulässiges Herunterladen von 
Dateien verpflichtet (Az. C-70/10). 

SABAM stellte im Jahr 2004 fest, dass 
Scarletnutzende Userüber das Internet-— 
ohne Genehmigung und ohne Gebühren 
zu entrichten — Werke über „Peer-to- 
Peer“-Netze herunterluden. Auf An- 
trag von SABAM gab der Präsident 
des Tribunal de Premiere Instance de 
Bruxelles (Belgien) Scarlet als Anbieter 
von Internetzugangsdiensten unter An- 
drohung eines Zwangsgelds auf, diese 
Urheberrechtsverletzungen abzustellen, 
indem sie es ihren KundInnen unmög- 
lich mache, Dateien, die ein Werk der 
Musik aus dem Repertoire von SABAM 
enthielten, in irgendeiner Form mit 
Hilfe eines „Peer-to-Peer“-Programms 
zu senden oder zu empfangen. Scarlet 
legte beim Cour d’Appel de Bruxelles 
Berufung ein und machte geltend, dass 
die Anordnung nicht unionsrechtskon- 
form sei, weil sie ihr de facto eine all- 
gemeine Pflicht zur Überwachung der 
Kommunikationen in ihrem Netz auf- 
erlege, was mit der Richtlinie über den 
elektronischen Geschäftsverkehr und 
den Grundrechten unvereinbar sei. Der 
Cour d’Appel fragte nun den EuGH, 
ob die Mitgliedstaaten aufgrund des 
Unionsrechts dem nationalen Richter 
erlauben können, einem Anbieter von 
Internetzugangsdiensten aufzugeben, 
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generell und präventiv allein auf seine 
eigenen Kosten und zeitlich unbegrenzt 
ein System der Filterung der elektroni- 
schen Kommunikationen einzurichten, 
um ein unzulässiges Herunterladen von 
Dateien zu identifizieren. 

Der EuGH wies darauf hin, dass 
Inhaber von Rechten des geistigen 
Eigentums gerichtliche Anordnungen 
gegen Vermittler wie die Anbieter von 
Internetzugangsdiensten beantragen 
können, deren Dienste von einemDritten 
zur Verletzung ihrer Rechte genutzt wer- 
den. Die Modalitäten der Anordnungen 
sind Gegenstand des nationalen Rechts. 
Diese nationalen Regelungen müssen 
jedoch die sich aus dem Unionsrecht 
ergebenden Beschränkungen wie u. a. 
die Richtlinie über den elektronischen 
Geschäftsverkehr beachten, wonach 
nationale Stellen keine Maßnahmen er- 
lassen dürfen, die einen Anbieter von 
Internetzugangsdiensten verpflich- 
ten würden, die von ihm in seinem 
Netz übermittelten Informationen all- 
gemein zu überwachen. Der EuGH 
meinte, dass die fragliche Anordnung 
Scarlet verpflichten würde, eine akti- 
ve Überwachung sämtlicher Daten al- 
ler ihrer KundInnen vorzunehmen, 
um jeder künftigen Verletzung von 
Rechten des geistigen Eigentums vor- 
zubeugen. Daraus folgt, dass die 
Anordnung zu einer allgemeinen 
Überwachung verpflichten würde, die 
mit der Richtlinie über den elektro- 
nischen Geschäftsverkehr unverein- 
bar ist. Außerdem würde eine solche 
Anordnung nicht die anwendbaren 
Grundrechte beachten. 

Zwar ist der Schutz des Rechts 
am geistigen Eigentum in der Charta 
der Grundrechte der Europäischen 
Union (EU) verankert. Gleichwohl er- 
gibt sich aus der Charta selbst wie aus 
der EuGH-Rechtsprechung, dass die- 
ses Recht nicht schranken- und bedin- 
gungslos besteht. Vorliegend sollte eine 
Filterung eingerichtet werden, wonach 
im Netz des fraglichen Anbieters die 
Nutzung des Internetzugangsdienstes 
zeitlich unbegrenzt überwacht wer- 
den müsste. Hierin sah der EuGH eine 


qualifizierte Beeinträchtigung der un- 
ternehmerischen Freiheit von Scarlet, 
da es verpflichtet würde, ein kompli- 
ziertes, kostspieliges, auf Dauer an- 
gelegtes und allein auf seine Kosten 
betriebenes Informatiksystem einzu- 
richten. Das Filtersystem könnte auch 
die Grundrechte seiner KundInnen be- 
einträchtigen, nämlich die durch die 
Charta der Grundrechte der EU ga- 
rantierten Rechte auf den Schutz per- 
sonenbezogener Daten und auf frei- 
en Empfang oder freie Sendung von 
Informationen. Die Anordnung hät- 
te eine systematische Prüfung al- 
ler Inhalte sowie die Sammlung und 
Identifizierung der IP-Adressen der 
NutzerInnen bedeutet, die die Sendung 
unzulässiger Inhalte in diesem Netz 
veranlasst haben, wobei es sich bei die- 
sen Adressen um personenbezogene 
Daten handelt. Die Anordnung könne 
zudem die Informationsfreiheit beein- 
trächtigen, weil dieses System mögli- 
cherweise nicht hinreichend zwischen 
einem unzulässigen Inhalt und einem 
zulässigen Inhalt unterscheiden kann, 
so dass sein Einsatz zur Sperrung von 
Kommunikationen mit zulässigem 
Inhalt führen könnte. 

Nach Ansicht des EuGH beachtete 
die Anordnung nicht das Erfordernis 
eines angemessenen Gleichgewichts 
zwischen einerseits dem Recht am 
geistigen Eigentum und andererseits 
der unternehmerischen Freiheit, dem 
Recht auf den Schutz personenbezo- 
gener Daten und dem Recht auf frei- 
en Empfang oder freie Sendung von 
Informationen. Der EuGH gab folglich 
die Antwort, dass das Unionsrecht ei- 
ner Anordnung an einen Anbieter von 
Internetzugangsdiensten entgegensteht, 
ein System der Filterung aller seine 
Dienste durchlaufenden elektronischen 
Kommunikationen, das unterschieds- 
los auf alle seine KundInnen anwend- 
bar ist, präventiv, auf ausschließlich 
seine eigenen Kosten und zeitlich unbe- 
grenzt einzurichten (PM Nr. 126/11 des 
Gerichtshof der Europäischen Union 
vom 24.11.2011). 
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BVerfG 


Verwendung von Tele- 
kommunikationsdaten 
teilweise verfassungs- 
widrig 


Leitsätze 

1. In der Zuordnung von Tele- 
kommunikationsnummern zu ihren An- 
schlussinhabern liegt ein Eingriff in 
das Recht auf informationelle Selbst- 
bestimmung. Demgegenüber liegt in 
der Zuordnung von dynamischen IP- 
Adressen ein Eingriff in Art. 10 Abs. 1 
GG. 

2. Der Gesetzgeber muss bei der 
Einrichtung eines Auskunftsverfahrens 
sowohl Rechtsgrundlagen für die Über- 
mittlung, als auch für den Abruf von 
Daten schaffen. 

3. Das automatisierte Auskunfts- 
verfahren der $$ 112, 111 TKG ist mit 
der Verfassung vereinbar. $ 112 TKG 
setzt dabei für den Abruf eigene Er- 
mächtigungsgrundlagen voraus. 

4. Das manuelle Auskunftsverfahren 
der $$ 113 Abs. 1 Satz 1, 111, 95 Abs. 1 
TKG ist in verfassungskonformer Aus- 
legung mit dem Grundgesetz vereinbar. 
Zum einen bedarf es für den Abruf der 
Daten qualifizierter Rechtsgrundlagen, 
die selbst eine Auskunftspflicht der 
Telekommunikationsunternehmen  nor- 
menklar begründen. Zum anderen darf 
die Vorschrift nicht zur Zuordnung dy- 
namischer IP-Adressen angewendet 
werden. 

5. Die Sicherheitsbehörden dürfen 
AuskünfteüberZugangssicherungscodes 
($ 113 Abs. 1 Satz 2 TKG) nur dann ver- 
langen, wenn die gesetzlichen Voraus- 
setzungen für ihre Nutzung gegeben 
sind. 


Der Erste Senat des Bundesver- 
fassungsgerichts (BVerfG) hat ohne 
mündliche Verhandlung mit Beschluss 
vom 24.01.2012 entschieden, dass 
die Regelungen zur Speicherung und 
Herausgabe von Nutzerdaten, Pass- 
wörtern und PIN-Codes an Ermittlungs- 
behörden und andere staatliche Stellen 
teilweise das Grundrecht auf infor- 
mationelle Selbstbestimmung verlet- 
zen und verfassungswidrig sind (Az. 
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1 BvR 1299/05). Das BVerfG macht 
Schluss mit der nach Ansicht der 
Kammer „verbreiteten aber umstritte- 
nen Praxis“, $ 113 auch für Auskünfte 
über den Inhaber einer IP-Adresse her- 
anzuziehen: Die Regelung „berechtigt 
. nicht zu einer Zuordnung von dy- 
namischen IP-Adressen“, weil dies ei- 
nen Eingriff ins Fernmeldegeheimnis 
darstelle. Der Gesetzgeber hat hier bis 
Juni 2013 Zeit, eine verfassungskon- 
forme Neuregelung zu schaffen. Das 
Gericht hat zudem eine in $ 113 Satz 
2 geregelte spezielle Auskunftspflicht 
der Provider gegenüber Strafverfolgern 
und Geheimdiensten kassiert, die Zu- 
gangssicherungscodes wie Passwörter 
oder PINs betraf. Das ist nach Ansicht 
der Richter nicht mit dem Recht auf in- 
formationelle Selbstbestimmung verein- 
bar, „weil sie nicht den Anforderungen 
des Verhältnismäßigkeitsgrundsatzes 
genügt“. Der Zugriff auf diese Daten sei 
in dem derzeit geregelten Umfang „für 
die effektive Aufgabenwahrnehmung 
dieser Behörden nicht erforderlich“. 
Die Vorschrift erlaube den Behörden 
Zugriff, ohne die Voraussetzungen 
dafür zu regeln. Auch hier hat das 
Verfassungsgericht eine Übergangsfrist 
bis Ende Juni 2013 angeordnet. 
Karlsruhe hat keine Einwände ge- 
gen die im Telekommunikationsgesetz 
(TKG) festgeschriebene Pflicht für 
Telekommunikationsanbieter, die per- 
sönlichen Daten zu Telefonnummern, 
E-Mail-Adressen oder anderen An- 
schlusskennungen zu speichern. Auch 
dasüberdie Bundesnetzagenturabgewik- 
kelte automatische Auskunftsverfahren 
etwa für Strafverfolgungsbehörden ist 
in den Augen der Verfassungshüter nicht 
zu beanstanden, weil der damit einher- 
gehende Eingriff in das Recht auf infor- 
mationelle Selbstbestimmung „nur von 
begrenztem Gewicht“ sei ($8$ 111, 112 
TKG). Die Beschwerde richtete sich 
auch gegen $ 113, soweit er alle An- 
bieter von Kommunikationsdienstleis- 
tungen (also etwa auch Krankenhäuser 
oder Hotels) verpflichtet, einer anfragen- 
den Behörde direkt Auskunft zu ertei- 
len, wenn dies „für die Verfolgung von 
Straftaten und Ordnungswidrigkeiten, 
die Gefahrenabwehr oder nachrichten- 
dienstliche Aufgaben erforderlich ist“. 
Hiergegen erklärte das BVerfG grund- 
sätzlich keine Einwände, macht aber eine 


klare Ansage für die Auslegung dieser 
Regelung. In der Praxis seien dabei bis- 
her Rechtsgrundlagen, die die Behörden 
allgemein zur Erhebung von Daten er- 
mächtigten, als ausreichend angesehen 
worden. Das soll künftig nicht mehr aus- 
reichen: „Die Vorschrift ist jedoch ver- 
fassungskonform so auszulegen, dass 
es für den Datenabruf spezieller fach- 
rechtlicher Ermächtigungsgrundlagen 
bedarf“. 

Das novellierte Telekommunikations- 
gesetz war im Juni 2004 in Kraft getre- 
ten. Ein Jahr später hatten vier E-Mail- 
Provider und zwei Privatpersonen 
Verfassungsbeschwerden gegen das 
Telekommunikationsgesetz (TKG) ein- 
gelegt. Einer der Beschwerdeführer war 
Patrick Breyer aus Meldorf, Kandidat 
auf Listenplatz 4 für die Piratenpartei 
bei den Landtagswahlen in Schleswig- 
Holstein im Mai 2012. Die Internet- 
Unternehmen wandten sich gegen die 
Auflage, Überwachungsschnittstellen 
ohne Entschädigung auf eigene Kosten 
vorhalten zu müssen. Dagegen hielten 
es die Privatpersonen für „grob unver- 
hältnismäßig“, persönliche Daten der 
gesamten Bevölkerung auf Vorrat zu 
speichern, nur weil ein Bruchteil dieser 
Daten einmal nützlich sein könnte. 2006 
hatte das Bundesverfassungsgericht 
die Beschwerde in Teilen abgewie- 
sen. Karlsruhe beschränkte sich auf die 
Überprüfung von Teilen des angegriffe- 
nen Gesetzes. 

Patrick Breyer, der als Jurist am 
Meldorfer Amtsgericht tätig ist, mein- 
te, die Bundesjustizministerin müs- 
se nun klarstellen, dass „Internetnutzer 
nur noch mit richterlicher Genehmigung 
und zur Verfolgung schwerer Straftaten 
identifiziert werden dürfen“. Er kri- 
tisiertte, dass Karlsruhe nichts ge- 
gen den „Identifizierungszwang für 
Mobilfunkkarten“ getan habe. Der 
Bundesdatenschutzbeauftragte Peter 
Schaar sah sich durch die Entscheidung 
in seiner Kritik an dem Gesetz bestä- 
tigt. Bundesjustizministerin Sabine 
Leutheusser-Schnarrenberg (FDP) er- 
klärte, die Entscheidung stärke den 
Grundrechtsschutz bei Telekommuni- 
kationsdaten. Das BVerfG habe „einmal 
mehr ein rot-grünes Sicherheitsgesetz 
beanstandet und die handwerkli- 
chen Mängel gerügt“. Bayerns Justiz- 
ministerin Beate Merk (CSU) forder- 
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te, die Defizite des Gesetzes, die sich 
„leicht korrigieren“ ließen, rasch zu be- 
heben. 

Interessant ist die Kritik von Heribert 
Prantl von der Süddeutschen Zeitung 
(SZ): „Karlsruhe ist müde; das Bundes- 
verfassungsgericht hat sich offenbar 
bei seiner 60-Jahr-Feier verausgabt. 
Jedenfalls kommt schon wieder eine 
seltsam gewundene, schlecht formu- 
lierte und entschlussschwache Ent- 
scheidung vom dortigen Senat. ... Zu lo- 
ben gibt es nicht so arg viel. Die Richter 
haben nichts gegen die Massenabfragen 
(derzeit 26,6 Millionen!) von Kom- 
munikationsdaten gesagt. Nur dort 
und da hängen sie vor deren Nutzung 
ein wackliges Stoppschild. Mit den 
großen Entscheidungen der vergan- 
genen Jahre, in denen das Gericht ein 
Sicherheitsgesetz nach dem anderen 
zerlegte, hat das wenig zu tun“ (www. 
heise.de 24.02.2012; KN 25.02.2012, 4; 
Kerscher u. Prantl SZ 25./26.02.2012, 
1,4). 


BVerfG 


Telekommunikations- 
überwachungsnovelle 
verfassungsgemäß 


Das Bundesverfassungsgericht 
(BVerfG) hat mit Beschluss vom 
12.10.2011 mehrere  Verfassungsbe- 
schwerden gegen die 2008 in Kraft ge- 
tretene Novelle der Telekommuni- 
kationsüberwachung aus dem Jahr 2007 
zurückgewiesen (AZ: 2 BvR 236/08, 2 
BvR 237/08, 2 BvR 422/08). Geklagt 
hatten unter anderem mehrere, vom Alt- 
liberalen Burkhard Hirsch vertretene 
FDP-Abgeordnete und VertreterInnen 
der Bürgerrechtsorganisation Humanis- 
tische Union. Die KlägerInnen kriti- 
sierten die unzureichende Sicherung 
des „absolut geschützten Kernbereichs 
privater Lebensgestaltung“, einen 
2-Klassen-Schutz sogenannter Berufs- 
geheimnisträger und eine unangemesse- 
ne Ausweitung des Straftatenkatalogs. 
Der Zweite Senat des Bundes- 
verfassungsgericht unter dem Präsi- 
denten Andreas Voßkuhle ließ keinen 
der vorgebrachten Gründe gelten. 
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Das BVerfG bestätigt das neue zwei- 
stufige Konzept, das Abgehörte vor 
Eingriffen in ihre Intimsphäre bewah- 
ren soll. Entgegen der Auffassung 
der BeschwerdeführerInnen müs- 
sten Uberwachungsmaßnahmen nicht 
schon deshalb unterlassen werden, 
„weil auch Tatsachen mit erfasst wer- 
den, die auch den Kernbereich des 
Persönlichkeitsrechts berühren“. Ein 
umfassendes Erhebungsverbot wür- 
de die TK-Überwachung in einem 
Maße einschränken, „dass eine wirksa- 
me Strafverfolgung gerade im Bereich 
schwerer und schwerster Kriminalität 
nicht mehr gewährleistet wäre“. In 
vielen Fällen sei es „praktisch un- 
vermeidbar“, dass die Behörden die 
Schutzwürdigkeit äußerst persönli- 
cher Gespräche erst im Nachhinein ent- 
deckten - zumal bei Gesprächen, die in 
fremden Sprachen geführt werden. Der 
Schutz des Kernbereichs sei durch einen 
„hinreichenden Grundrechtsschutz in 
der Auswertungsphase‘“ sicherzustellen. 
Sollten bei einer Abhörmaßnahme Daten 
erfasst werden, die die absolut geschütz- 
te Intimsphäre berührten, greife das 
Verwertungsverbot. Im Lauschangriff- 
Urteil von 2004 hatte das BVerfG noch 
kategorisch das sofortige Abschalten der 
Überwachung angeordnet, sobald der 
„Kernbereich“ berührt wird. 

Der Gesetzgeber habe zudem den 
Katalog der Straftaten in $ 100a StPO, 
bei denen abgehört werden darf, „nicht 
in verfassungswidriger Weise in die 
Bereiche der leichten und mittle- 
ren Kriminalität hinein ausgedehnt“. 
Aus dem früheren Katalog waren 19 
Straftatbestände gestrichen, indenneuen 
mehr als 30 aufgenommen worden - und 
zwar solche mit einer Höchststrafe von 
5 Jahren und mehr. Die Gesetzesreform 
ermöglicht die Überwachung etwa 
auch bei Korruptionsdelikten, 
schweren Steuervergehen oder 
Verbreitung, Erwerb und Besitz von 
Kinderpornografie. Dies qualifizie- 
re die Delikte noch nicht als schwe- 
re Straftaten, bei denen ein Eingriff in 
Art. 10 GG verhältnismäßig sei. „Eine 
Höchststrafe von fünf Jahren ist im 
Strafgesetzbuch der Regelfall.“ Bei ei- 
ner „Gesamtschau“ sei die Einschätzung 
des Gesetzgebers als „schwerwiegend“ 
allerdings vertretbar, zumal ein pau- 
schaler Verweis auf die Liste nicht für 


die Telefonüberwachung genüge, son- 
dern die Taten „auch im Einzelfall“ 
schwerwiegend sein müssten. 

Für grundgesetzkonform hält 
Karlsruhe auch das überarbeitete 
Modell zum Schutz von Zeugnisver- 
weigerungsberechtigten in $ 160a 
StPO. Ein absolutes Beweiserhebungs- 
und Verwendungsverbot gilt dem- 
nach für Abgeordnete, Seelsorger und 
Strafverteidiger sowie seit Februar 2011 
auch für die übrigen Rechtsanwälte. 
Andere Berufsgeheimnisträger wie 
ÄrztInnen oder JournalistInnen dür- 
fen dagegen „nach Abwägung der 
Verhältnismäßigkeit“ überwacht wer- 
den. Mit der Begrenzung des absoluten 
Schutzes auf wenige Ausnahmefälle 
trage der Gesetzgeber dem Umstand 
Rechnung, „dass die Verfolgung von 
Straftaten hohe Bedeutung hat“. 


Das BVerfG bestätigte weiter- 
hin die überarbeitete Regelung in 
$ 101 Abs. 4 bis 6 StPO, ob und wann 
Betroffene über erfolgte verdeckte 
Ermittlungsmaßnahmen zu informieren 
sind. Der Anspruch darauf gehöre zwar 
zum effektiven Grundrechteschutz. 
Ausnahmen könnten aber in Abwägung 
mit verfassungsrechtlich geschützten 
Rechtsgütern Dritter vorgesehen wer- 
den. Unterbleiben könne eine Benach- 
richtigung etwa, „wenn die Kenntnis 
des Eingriffs in das Telekommuni- 
kationsgeheimnis dazu führen wür- 
de, dass dieser seinen Zweck ver- 
fehlt“ (PE BVerfG 07.12.2011; Krempl 
www.heise.de 07.12.2011; Janisch SZ 
08.12.2011, 5). 


BVerfG 


Kein Verwertungsverbot 
bei illegalem Lausch- 
angriff 


Das Bundesverfassungsgericht hat 
mit Beschluss vom 07.12.2011 die 
Verurteilung von drei Al-Qaida-Akti- 
visten wegen Versicherungsbetrug auf- 
gehoben, weil die Schadenhöhe nicht 
korrekt ermittelt worden ist. Die Ver- 
wertung von Erkenntnissen aus einem 
Lauschangriff wurde dagegen nicht be- 
anstandet (Az. 2 BvR 2500/09, 2 BvR 
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1857/10). Mit dem Versicherungsbetrug 
wollten die Islamisten Mittel für das 
Terrornetzwerk Al-Qaida beschaf- 
fen. Hierzu schloss der Palästinenser 
Yasser Abu-S. im Sommer 2004 zahl- 
reiche Lebensversicherungen ab. Bei 
einer späteren Urlaubsreise sollte mit 
Unterstützung von korrupten ägypti- 
schen Beamten sein Tod vorgetäuscht 
werden; die Versicherungssumme von 4 
Mio. Euro sollte der Terrorfinanzierung 
dienen. Angestiftet wurde er durch den 
Syrer Ibrahim Mohamed K. Geholfen 
hatte außerdem ein Bruder von Yasser 
Abu-S. Die drei wurden 2007 vom 
Oberlandesgericht Düsseldorf zu mehr- 
jährigen Haftstrafen verurteilt. Der 
Bundesgerichtshof (BGH) bestätigte 
das Urteil im Wesentlichen. Die Verur- 
teilung der drei beruhte auf Erkennt- 
nissen einer fünfmonatigen akusti- 
schen Überwachung der Wohnung von 
Ibrahim Mohamed K. in Mainz. Aus 
304 Stunden Lauschangriff wurden 313 
Gespräche übersetzt. Die Maßnahme 
diente zunächst der Gefahrenabwehr 
und wurde auf das rheinland-pfäl- 
zische Polizeigesetz gestützt. Doch 
dieses Gesetz enthielt damals noch 
keine Vorschriften zum Schutz des 
Kernbereichs privater Lebensgestaltung 
und war deshalb teilweise verfassungs- 
wirdig. 

Dennoch hielt der BGH und nun das 
BVerfG die Ergebnisse des Lausch- 
angriffs für verwertbar. Das Recht 
auf ein faires Strafverfahren sei nicht 
verletzt. Auch rechtswidrig erlang- 
te Informationen könnten vor Gericht 
als Beweismittel genutzt werden. 
Das BVerfG bemängelte jedoch, dass 
der BGH zur Höhe des Schadens nur 
vage Äußerungen machte. Konkrete 
Angaben seien schon deshalb erfor- 
derlich, weil die Versicherungssumme 
noch nicht bezahlt worden war und 
nur eine Gefährdung des Vermögens 
der Versicherungen erfolgte. Der BGH 
muss nun erneut über den Fall entschei- 
den. Selbst wenn eine Verurteilung we- 
gen Versicherungsbetrug nicht möglich 
sein sollte, bliebe eine Bestrafung we- 
gen Mitgliedschaft und Unterstützung 
einer terroristischen Vereinigung be- 
stehen (Rath taz 30.12.2011, 6; BVerfG 
PM 29.12.2011) 
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BGH 


Mutter muss Scheinvater 
wahren Erzeuger von 
Kuckuckskind nennen 


Der Familiensenat des Bundes- 
gerichtshofes (BGH) hat mit Urteil vom 
09.11.2011 entschieden, dass Männer, 
denen ein sog. Kuckuckskind unter- 
geschoben worden ist, von der Mutter 
Auskunft über den Namen des wahren 
Erzeugers verlangen können (Az. XII 
ZR 136/09). Ein pensionierter 49jäh- 
riger Polizeibeamter hatte für sei- 
nen vermeintlichen Sohn knapp 4.575 
Euro Unterhalt gezahlt und wollte das 
Geld nun von dem - ihm unbekannten 
- leiblichen Vater zurückfordern. Diese 
Klage des „Scheinvaters“ war in allen 
drei Instanzen erfolgreich, zuletzt beim 
Oberlandesgericht Schleswig-Holstein. 
Er hatte die Vaterschaft zunächst im 
Januar 2007 vor der Geburt des Kindes 
anerkannt, obwohl die Beziehung 
schon nach ständigen Streitereien be- 
endet war. Als während eines Prozesses 
ein Vaterschaftsgutachten eingeholt 
wurde, stellte das Familiengericht fest, 
dass der Kläger nicht der Vater sei. Dies 
gab er in der Regionalzeitung öffentlich 
bekannt. 

Der BGH gründete den Auskunfts- 
anspruch auf „Treu und Glauben“ - weil 
der Scheinvater die Vaterschaft letztlich 
auf Betreiben der Mutter anerkannt hat- 
te. Die Senatsvorsitzende Meo-Micaela 
Hahne hatte in der Verhandlung ange- 
deutet, dies sei relevant, „auch wenn 
man der Mutter zugestehen mag, dass 
sie den Kläger für den Vater hielt“. Die 
Frau hatte die Preisgabe des Namens des 
biologischen Vaters unter Berufung auf 
den Schutz ihrer Privat- und Intimsphäre 
verweigert. Der Anwalt der Mutter, 
Siegfried Mennemeyer, meinte der fal- 
sche Vater hätte seine Vaterschaft von 
vornherein klären müssen: „Er hätte ein- 
fach nicht zahlen müssen“. Der BGH 
ließ dies nicht gelten. Die Mutter habe 
ja bereits zuvor einen Mann, mit dem 
sie intim gewesen sei, als Vater offen- 
bart - nur eben den falschen. In diesem 
Fall wiege ihr Persönlichkeitsrecht nicht 
stärker als der Anspruch des Mannes 
auf eine wirksame Durchsetzung seines 
Regressanspruchs. 


Auf Grund eines Urteils des 
Bundesverfassungsgerichts aus dem 
Jahr 2007 kann ein zweifelnder Vater die 
Klärung der biologischen Vaterschaft 
auch gegen den Willen der Mutter her- 
beiführen (DANA 1/2007, 37 £.). Bis zur 
aktuellen BGH-Entscheidung war aber 
die Frage des Auskunftsanspruchs des 
Scheinvaters ungeklärt. Vor 1998 waren 
auch die Jugendämter mit solchen Fällen 
befasst und konnten im Konfliktfall 
für Klarheit sorgen. Seit der sog. 
Kindschaftsrechtsreform sind die Ämter 
aber außen vor. Die BGH-Entscheidung 
war absehbar: Anfang 2011 hatte etwa 
das Amtsgericht Bonn entschieden, dass 
ein Telekommunikationsunternehmen 
Name und Anschrift eines Kunden her- 
ausgeben muss, wenn ein Kind wis- 
sen will, wer sein leiblicher Vater ist, 
die Mutter aber von ihrem damaligen 
Sexualpartner nur den Vornamen und die 
Handynummer kennt (SZ 10.11.2011, 
5; Janisch SZ 09.11.2011, 1; Hipp, Der 
Spiegel 45/2011, 44 £f.,; vgl. DANA 
3/2011, 131). 


BGH 


Polizeilich abgehörte 
Selbstgespräche sind ab- 
solut nicht verwertbar 


Der Bundesgerichtshof (BGH) hat 
mit Urteil vom 22.12.2011 entschieden, 
dass ein im Selbstgespräch gemachtes 
Geständnis eines Mörders, der sich allein 
und unbelauscht wähnt, zum absolut ge- 
schützten Kernbereich der Privatsphäre 
gehört und damit vor Gericht unver- 
wertbar ist, wie schwer auch immer der 
Vorwurf sei (2 StR 509/10). 

Der Mitbeschuldigte Siegfried K. und 
seine philippinische Ehefrau LotisR. hat- 
ten einen Sohn; eines Tages trennten sie 
sich, was aber K’s Zwillingsschwester 
und ihrem Mann missfiel. Sie hatten 
den Jungen liebgewonnen und woll- 
ten ihn behalten, kämpften vor Gericht 
um ein eigenes Umgangsrecht und bo- 
ten der Mutter sogar Geld. Im April 
2007 verschwand die Mutter und wurde 
bis heute nicht gefunden. Nach Ansicht 
des Landgerichts (LG) Köln war die 
Mutter von dem Trio ermordet worden. 
Beweismittel war ein per Wanze aufge- 
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zeichnetes Selbstgespräch von Siegfried 
K. im Auto: „Die Lotis ist schon lange 
tot. Oho I kill her. ... Wir haben sie tot- 
gemacht.“ Nach der Entscheidung des 
BGH hätte das LG Köln den Monolog 
nicht verwerten dürfen, so Strafsenats- 
vorsitzender Thomas Fischer: „Der 
Grundsatz, dass die Gedanken frei und 
dem staatlichen Zugriff nicht zugäng- 
lich sind, beschränkt sich nicht auf in- 
nere Denkvorgänge“. Der Schutz gründe 
in der Menschenwürde und umfasse das 
Aussprechen von Gedanken im Selbst- 
gespräch, bei dem sich jemand „als allein 
mit sich selbst empfindet“. Das absolute 
Verwertungsverbot wirkt auch in Bezug 
auf die beiden Mitangeklagten. 1989 
hatte das Bundesverfassungsgericht 
(BVerfG) den staatlichen Einblick in 
innere Vorgänge noch erlaubt: In einer 
Vier-zu-Vier-Entscheidung hatten sie 
Tagebuchaufzeichnungen als verwertbar 
erklärt. Nach Ansicht des BGH ist aber 
ein bruchstückhafter „Gedankenfluss“ 
ungleich persönlicher als schriftlich fi- 
xierte Gedanken. 

Maßgeblich waren die Umstände des 
konkreten Falles. Nicht jedes Selbst- 
gespräch einer Person sei ohne Weite- 
res dem vor staatlichen Eingriffen ab- 
solut geschützten Kernbereich der 
Persönlichkeit zuzuordnen. Nach den 
Grundsätzen des Schutzes der Men- 
schenwürde und der Freiheit der Person 
müsse ein Kernbereich privater Lebens- 
gestaltung und Lebensäußerung ver- 
bleiben, in welchen der Staat auch zur 
Aufklärung schwerer Straftaten nicht 
eingreifen darf. Wichtige Kriterien für 
die Entscheidung, ob Äußerungen in 
Selbstgesprächen dem innersten, unan- 
tastbaren Bereich der Persönlichkeit zu- 
zuordnen sind, seien 
e die Eindimensionalität der Selbst- 
kommunikation, also die Äußerung ohne 
kommunikativen Bezug; 

e die Nichtöffentlichkeit der Äußerungs- 
situation und das Maß des berechtigten 
Vertrauens der Person darauf, an dem 
jeweiligen Ort vor staatlicher Über- 
wachung geschützt zu sein; 

e die mögliche Unbewusstheit der ver- 
balen Äußerung; 

e die Identität der Äußerung mit den in- 
neren Gedanken, 

e die Äußerungsform als bruchstückhaf- 
ter, auslegungsfähiger oder -bedürftiger 
Ausschnitt eines „Gedankenflusses“. 
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In der Flüchtigkeit und Bruchstück- 
haftigkeit des in Selbstgesprächen ge- 
sprochenen Worts ohne kommuni- 
kativen Bezug liegen nach Ansicht 
des Senats auch rechtlich erhebliche 
Unterschiede etwa zu Eintragungen in 
Tagebüchern. Aus dem Umstand, dass 
eine Äußerung innerhalb desnach Art. 13 
GG geschützten Bereichs der Wohnung 
fällt, lässt sich nach der gesetzlichen 
Systematik zwar ein verstärkendes Indiz 
für die Zuordnung zum geschützten 
Kernbereich ableiten. Auch außerhalb 
der Wohnung ist dieser Kernbereich aber 
absolut geschützt, wenn andere der ge- 
nannten Gesichtspunkte in der Wertung 
überwiegen. So lag es in dem vom 2. 
Strafsenat entschiedenen Fall. Der ge- 
gen die Zuordnung zum Kernbereich der 
Persönlichkeit sprechende Sozialbezug 
der Äußerungen, der in ihrem mögli- 
chen oder tatsächlichen Bezug auf eine 
schwere Straftat lag, trat dagegen zu- 
rück. 

Es ist unklar, ob der Mord damit un- 
gesühnt bleibt. Es gebe, so Fischer, „er- 
hebliche Indizien“, die möglicherwei- 
se für eine Verurteilung reichten. Das 
muss das LG Köln klären, an das der 
Fall zurückverwiesen wurde (BGH PM 
Nr. 206/2011 v. 22.12.2011; Janisch SZ 
23.12.2011, 1). 


OLG München 


Keine Herausgabepflicht 
von Nutzungsdaten bei 
illegalem Upload 


Das Oberlandesgericht (OLG) 
München hat mit Beschluss vom 
17.11.2011 in zweiter Instanz entschie- 
den, dass YouTube keine Daten von 
Nutzenden herausgeben muss, die ille- 
gal Filmmaterial auf die Plattform la- 
den, dabei aber keine kommerziellen 
Ziele verfolgen (Az. 29 U 3496/11). 
Ein Filmverleih beantragte eine einst- 
weilige Verfügung, weil YouTube keine 
Auskünfte über einen User geben wollte, 
der große Teile des Kinofilms „Werner 
Eiskalt“ ins Internet gestellt hatte. Zwar 
habe der Nutzer eindeutig gegen das 
Urheberrecht verstoßen. Auskünfte über 
denjenigen, der das Video veröffentlich- 
te, könnten dem Gesetz nach aber nur 


dann vom Rechteinhaber eingefordert 
werden, wenn der Nutzer das „in ge- 
werblichem Ausmaß“ getan habe. Dies 
sei im vorliegenden Fall nicht zu erken- 
nen. Zuvor hatte bereits das Landgericht 
München ebenso entschieden. 

Der Nutzer hatte die Videos vermut- 
lich im Kinosaal aufgenommen und 
sechs Sequenzen aus dem erfolgrei- 
chen Comic-Film beim Portal hoch- 
geladen. Das sei „über die Hälfte des 
Films“ gewesen, so der Constantin- 
Anwalt Björn Frommer. YouTube hat- 
te die Videos im Sommer auf Verlangen 
des Filmverleihs unverzüglich aus dem 
Netz entfernt. Gegen die Entscheidung 
des Oberlandesgericht im Eilverfahren 
gibt es kein weiteres Rechtsmittel. Die 
beiden Parteien erwägen nun, die Frage 
im Hauptsacheverfahren umfassend prü- 
fen zu lassen (www.zeit.de 18.11.2011; 
medienrecht-blog.com 24.11.2011). 


VG Düsseldorf 


Verfassungsschutz muss 
Datenverarbeitung neu 
ordnen 


Die geheimdienstlich Beobachtung 
und Ausforschung des Rechtsanwalts 
und Publizisten Rolf Gössner durch 
den Verfassungsschutz (VS) von 
Nordrhein-Westfalen (NRW) war ge- 
mäß dem rechtskräftigen Urteil des 
Verwaltungsgerichts (VG) Düsseldorf 
vom 19.10. 2011 unzulässig (Az. 22 K 
4905/08). Der Prozess hatte 31 Jahre ge- 
dauert. Anfang 2011 hatte das VG Köln 
die vier Jahrzehnte lange Überwachung 
Gössners durch das Bundesamt für 
Verfassungsschutz (BfV) für unverhält- 
nismäßig und grundrechtswidrig erklärt 
(DANA 1/2011, 36f.). Das Gericht wirft 
dem VS NRW vor, eingrenzende ge- 
setzliche Bestimmungen nicht einge- 
halten und vor allem die Datennutzung 
nicht effektiv kontrolliert und proto- 
kolliert zu haben. Nach Auffassung 
des Prozessbevollmächtigten von Rolf 
Gössner, des freiburger Anwalts Udo 
Kauß (Humanistische Union), wird 
dieses Urteil bundesweit erhebliche 
AuswirkungenaufdieDatenverarbeitung 
aller 17 VS-Ämter des Bundes und der 
Länder haben. Udo Kauß: „Erstmals 
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wird eine Geheimdienstbehörde 
durch ein Gericht verpflichtet, ihre 
Datenverarbeitung so zu organisie- 
ren, dass die VS-Bediensteten nur auf 
die gespeicherten Daten zugreifen kön- 
nen, auf die das Gesetz für die jeweili- 
ge Aufgabe einen Zugriff erlaubt.“ Das 
Gericht hat den VS auch verpflichtet, 
durch technische Vorrichtungen sicher 
zu stellen, dass die Rechtmäßigkeit ei- 
nes jeden Datenzugriffs im Nachhinein 
jederzeit überprüft werden kann. Sind 
diese Voraussetzungen nicht erfüllt, so 
Kauß, „dann ist jegliche Speicherung 
und jeglicher Zugriff rechtswidrig und 
ein Eingriff in das Grundrecht auf in- 
formationelle Selbstbestimmung des 
Betroffenen“. 

Der VS NRW hatte über Rolf Gössner 
eine Personendatei mit Personalien und 
Kontakten zu bestimmten Gruppen 
und Personen angelegt, die im 
Verfahren aus Geheimhaltungsgründen/ 
Quellengefährdung nur geschwärzt 
vorgelegt wurden. In 9 elektroni- 
schen Dokumenten (Sachdatei) waren 
Veranstaltungen des Klägers in NRW 
sowie Daten zu „linksextremistischen 
Bestrebungen bzw. Verdachtsfällen“ 
registriert, des Weiteren Gespräche, 
Äußerungen Dritter über Gössner, 
Protokolle und Berichte über Treffen 
bzw. Sitzungen „linksextremistischer“ 
Bestrebungen und Informationen über 
Aktionen und künftige Vorhaben. 
Die Daten beruhten u. a. auf 
„Quellenberichten“ von V-Leuten und 
anderen geheimen Informanten des VS, 
so etwa Erkenntnisse über einen nicht 
namentlich genannten Verein, in dem 
Rolf Gössner Vorstandsfunktionen in- 
nehatte und der angeblich von Personen 
„unterwandert“ werden sollte; diese sol- 
len einer Organisation angehört haben, 
die in der EU-Terrorliste geführt wird. 
Deshalb war Gössner über ein ganzes 
Jahr selbst Gegenstand direkter ver- 
fassungsschützerischer Überwachung. 
Der Verdacht habe sich jedoch nicht 
erhärtet. Erfasst wurde zudem die 
Tatsache, dass Rolf Gössner u. a. für die 
Internationale Liga für Menschenrechte 
an der Beobachtung eines Prozesses 
vor dem  Verwaltungsgerichtshof 
(VGH) Mannheim teilgenommen hat- 
te, in dem es um ein Berufsverbot 
für einen Realschullehrer in Baden- 
Württemberg ging. Der VGH erklär- 
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te dieses vom baden-württembergi- 
schen Verfassungsschutz begründete 
und vom Kultusministerium verhängte 
Berufsverbot für rechtswidrig und hob 
es auf. Der Prozessbeobachter Gössner 
blieb in NRW weiterhin erfasst. 

Zu den erfassten Veranstaltungen 
in NRW, auf denen Rolf Gössner als 
Referentaufgetreten war, gehörtendiedes 
Duisburger „Netzwerkes gegen Rechts“ 
und Vorträge des Klägers zu Themen 
wie „Innere Sicherheit“, „V-Leute in 
Neonaziszenen“ oder „Abbau von 
Menschenrechten“; die VS-Berichte 
enthielten Angaben zur Vergütung, die 
der Kläger für einen Vortrag erhalten 
habe, sowie die Wiedergabe längerer, 
nicht-öffentlicher Ausführungen eines 
dem „linksextremistischen Spektrum“ 
zuzurechnenden Redners zum geschei- 
teren NPD-Verbotsverfahren; dar- 
in komme der Satz vor: „Etwa 30 der 
200 NPD-Vorstandsmitglieder wa- 
ren Geheimdienstler, das Peinliche war 
nur, dass sie — nach Rolf Gössner — an 
Brandstiftung, Totschlag, Mordaufrufen, 
Waffenhandel, Gründung einer terrori- 
stischen Vereinigung direkt beteiligt wa- 
ren“. 

Das Verwaltungsgericht Düsseldorf 
hat mit seinem Urteil die gesam- 
te Datenerfassung, -speicherung und 
-verarbeitung des Verfassungsschutzes 
NRW im Fall Gössner für rechtswidrig 
erklärt, weil nicht kenntlich gemacht 
wurde, ob dieser selbst verdächtiges 
Objekt war - in den Worten des VS: 
„doloses Objekt“, also mutmaßlicher 
„Verfassungsfeind“ oder „Extremist“ 
- oder aber eine „undolose“ Kontakt- 
person, die selbst keine „verfassungs- 
feindlichen Bestrebungen“ verfolgt. 
Obwohl Gössner gerade nicht als Teil 
einer „linksextremistischen Bestre- 
bung“ erfasst worden war, habe er 
mangels korrekter Kennzeichnung als 
„belastete Person“ gegolten und sei- 
ne Daten hätten etwa gesetzeswid- 
rig bei Sicherheitsüberprüfungen Ver- 
wendung finden können. Auch die 
Tatsache, dass Daten über Gössner in 
sog. Sachdatenbanken nach Belieben 
namentlich recherchierbar waren, ver- 
stieß gegen geltendes Recht. Mit diesen 
Praktiken sei einer verbotenen zweck- 
widrigen Weiterverwendung von per- 
sonenbezogenen Daten unkontrollier- 
bar Tür und Tor geöffnet worden (PM 


Internationale Liga für Menschenrechte, 
Humanistische Union, 13.12.2011). 


LG Lüneburg 


Postwurfsendung bei 
Widerspruch unzulässig 


Gemäß Urteil des Landgerichts 
(LG) Lüneburg vom 30.09.2011 
stellt die Zusendung nicht gewünsch- 
ter Postwurfsendungen einen Eingriff 
in das Recht auf informationelle 
Selbstbestimmung dar. Ein Verbraucher 
ist nicht gezwungen, einen Aufkleber 
mit den Worten „Werbung - Nein 
Danke“ auf seinem Briefkasten anzu- 
bringen. Vielmehr genügt es, wenn er 
dem Unternehmen mitteilt, dass er eine 
derartige Werbung nicht wünscht (Az.: 
4 S 44/11). Der Kläger erhielt regelmä- 
Big in seinen Briefkasten die Zeitschrift 
der Deutschen Post „Einkauf aktuell“ 
eingeworfen. Diese Postwurfsendung 
besteht aus einem wöchentlichen TV- 
Programmhaft und Werbebroschüren 
unterschiedlicher Handelsunternehmen. 
Als er die Post aufforderte, dies zu un- 
terlassen, lehnte diese ab und wies dar- 
auf hin, dass er einen entsprechenden 
„Werbung, nein danke“-Aufkleber an 
seinen Briefkasten anbringen könne. 
Das LG Lüneburg teilte diese Ansicht 
nicht und verurteilte das Unternehmen 
zur Unterlassung. Es handele sich um 
unerlaubte Werbung, die das Allgemeine 
Persönlichkeitsrecht des Klägers verlet- 
ze. Der Kläger habe sich mehrfach an die 
Beklagte gewandt und darum gebeten, 
die Postwurfsendungen sein zu lassen. 
Trotz dieser Kenntnis habe die Beklagte 
die Werbung weiterhin in den Briefkasten 
geworfen. Der Kläger müsse sich nicht 
darauf verweisen lassen, dass er einen 
Aufkleber mit den Worten „Werbung - 
Nein Danke“ anbringen solle. Es reiche 
aus, dass er dem Unternehmen mitteile, 
keine Postwurfsendungen mehr erhalten 
zu wollen (KN 07.01.2012, 7; dejure. 
org; dr-bahr.com 21.12.2011). 
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EU-Kommissar Karel De Gucht: 


„Unsere Verantwortung als Politiker ist, 
Tatsachen zu schaffen und nicht der Masse folgen“ 


http://www.europarl.europa.eu/news/de/pressroom/content/Z0120227IPR39340/html/ACTA-MEPSs-want-clarity-before-taking-a-decision 


